Updates für Zyxel-Produkte (AL01/240604/CSIRT-ITA)

Synthese

Zyxel veröffentlicht Sicherheitsupdates, um fünf Schwachstellen in einigen NAS-Geräten zu beheben, deren Support-Zeitraum (EOL) abgelaufen ist.

Hinweis: Ein Proof of Concept (PoC) für die Sicherheitslücke CVE-2024-29974 ist online verfügbar.

Risiko

Geschätzte Auswirkung der Schwachstelle auf die Referenzgemeinschaft: SCHWER/ROT (79,23/100)¹.

Typologie

• Arbitrary Code Execution
• Privilege Escalation
• Information Disclosure

Betroffene Produkte und/oder Versionen

NAS326, Firmware-Version 5.21(AAZF.16)C0 und früher

NAS542, Firmware-Version V5.21(ABAG.13)C0 und früher

Schadensbegrenzungsmaßnahmen

In Übereinstimmung mit den Aussagen des Anbieters wird empfohlen, die verfügbaren Abhilfemaßnahmen gemäß den im Sicherheitsbulletin im Abschnitt „Referenzen“ gemeldeten Hinweisen anzuwenden.

Eindeutige Schwachstellenkennungen

CVE-2024-29972

CVE-2024-29973

CVE-2024-29974

CVE-2024-29975

CVE-2024-29976

Referenzen

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-nas-products-06-04-2024

¹Diese Schätzung erfolgt unter Berücksichtigung verschiedener Parameter, darunter: CVSS, Verfügbarkeit von Patches/Workarounds und PoC, Verbreitung der betroffenen Software/Geräte in der Referenz-Community.