Zyxel publie des correctifs pour corriger 15 failles dans les périphériques NAS, pare-feu et AP

01 décembre 2023RédactionPare-feu / Sécurité réseau

Zyxel a publié des correctifs pour résoudre 15 problèmes de sécurité affectant les périphériques de stockage en réseau (NAS), de pare-feu et de point d’accès (AP), y compris trois failles critiques pouvant conduire à un contournement d’authentification et à une injection de commandes.

Le trois vulnérabilités sont répertoriés ci-dessous –

• CVE-2023-35138 (score CVSS : 9,8) – Une vulnérabilité d’injection de commandes qui pourrait permettre à un attaquant non authentifié d’exécuter certaines commandes du système d’exploitation en envoyant une requête HTTP POST contrefaite.
• CVE-2023-4473 (score CVSS : 9,8) – Une vulnérabilité d’injection de commandes dans le serveur Web qui pourrait permettre à un attaquant non authentifié d’exécuter certaines commandes du système d’exploitation en envoyant une URL contrefaite à un appareil vulnérable.
• CVE-2023-4474 (score CVSS : 9,8) – Une vulnérabilité de neutralisation inappropriée d’éléments spéciaux qui pourrait permettre à un attaquant non authentifié d’exécuter certaines commandes du système d’exploitation en envoyant une URL contrefaite à un appareil vulnérable.

Zyxel a également corrigé trois failles de haute gravité (CVE-2023-35137, CVE-2023-37927et CVE-2023-37928) qui, s’ils étaient exploités avec succès, pourraient permettre à des attaquants d’obtenir des informations sur le système et d’exécuter des commandes arbitraires. Il convient de noter que CVE-2023-37927 et CVE-2023-37928 nécessitent une authentification.

Les défauts affectent les modèles et versions suivants –

• NAS326 – versions V5.21(AAZF.14)C0 et antérieures (corrigé dans V5.21(AAZF.15)C0)
• NAS542 – versions V5.21(ABAG.11)C0 et antérieures (corrigées dans V5.21(ABAG.12)C0)

L’avis intervient quelques jours après que le fournisseur de réseaux taïwanais livré des correctifs pour neuf défauts dans certaines versions de pare-feu et de point d’accès (AP), dont certaines pourraient être utilisées pour accéder aux fichiers système et aux journaux de l’administrateur, ainsi que provoquer une condition de déni de service (DoS).

Les appareils Zyxel étant souvent exploités par des acteurs malveillants, il est fortement recommandé aux utilisateurs d’appliquer les dernières mises à jour pour atténuer les menaces potentielles.