Zyxel: Κυκλοφόρησε ενημερώσεις λογισμικού για κρίσιμη ευπάθεια

Η Zyxel ανακοίνωσε ενημερώσεις λογισμικού για να διορθώσει μια κρίσιμη ευπάθεια ασφαλείας, την CVE-2024-7261 (βαθμολογία CVSS: 9,8), η οποία επηρεάζει ορισμένα σημεία πρόσβασης (AP) και εκδόσεις router ασφαλείας.

Αυτή η ευπάθεια περιγράφεται ως μια περίπτωση injection εντολών στο λειτουργικό σύστημα, η οποία επιτρέπει σε μη εξουσιοδοτημένους χρήστες να εκτελούν εντολές στέλνοντας μια ειδικά διαμορφωμένη αίτηση. Η ανακάλυψη αυτού του ελαττώματος αποδόθηκε στον Chengchao Ai από το Πανεπιστήμιο Fuzhou.

Επιπλέον, η Zyxel διόρθωσε οκτώ άλλες ευπάθειες στα routers και τα τείχη προστασίας (firewalls) της, πολλές από τις οποίες είναι υψηλής σοβαρότητας και θα μπορούσαν να οδηγήσουν σε εκτέλεση εντολών, άρνηση παροχής υπηρεσιών (DoS) ή αποκάλυψη πληροφορίων. Οι ευπάθειες περιλαμβάνουν:

• CVE-2024-5412: Buffer overflow που επιτρέπει DoS.
• CVE-2024-6343: Buffer overflow που μπορεί να επιτρέψει DoS από διαχειριστή.
• CVE-2024-7203: Εισαγωγή εντολών μετά τον έλεγχο ταυτότητας για διαχειριστές.
• CVE-2024-42057: Εισαγωγή εντολών στην IPSec VPN για μη εξουσιοδοτημένους χρήστες.
• CVE-2024-42058: Μηδενική αναφορά δείκτη που επιτρέπει DoS.
• CVE-2024-42059: Εισαγωγή εντολών μέσω FTP από διαχειριστές.
• CVE-2024-42060: Εισαγωγή εντολών για διαχειριστές σε τείχη προστασίας.
• CVE-2024-42061: Αντικατοπτρισμένη XSS στο CGI που μπορεί να κλέψει πληροφορίες από χρήστες.

Αυτή η ανακοίνωση έρχεται σε μια περίοδο κατά την οποία η D-Link έχει δηλώσει ότι δεν θα επιδιορθώσει τέσσερις ευπάθειες στο DIR-846 router, καθώς οι υπηρεσίες της δεν θα υποστηρίζονται πλέον.