Zyxel, çeşitli ağ cihazlarındaki çok sayıda güvenlik açığını kapattı. Bunlardan biri de kritik bir güvenlik açığı (CVE-2024-7261), kimliği doğrulanmamış saldırganların, özel olarak hazırlanmış bir çerezi güvenlik açığı bulunan cihazlara göndererek birçok Zyxel erişim noktası (AP) ve güvenlik yönlendiricisinde işletim sistemi komutları yürütmesine olanak tanıyabilir.
CVE-2024-7261
CVE-2024-7261, bazı AP ve güvenlik yönlendirici sürümlerinin CGI programındaki “host” parametresindeki özel öğelerin uygunsuz şekilde etkisizleştirilmesinden kaynaklanan bir işletim sistemi komut enjeksiyonu güvenlik açığıdır.
Fuzhou Üniversitesi ROIS ekibinden Chengchao Ai tarafından Zyxel’e özel olarak bildirilen güvenlik açığı şunları etkiliyor:
- Zyxel NWA1123ACv3 aygıt yazılımı sürümü 6.70(ABVT.4) ve öncesi
- WAC500 aygıt yazılımı sürümü 6.70(ABVS.4) ve öncesi
- WAX655E aygıt yazılımı sürümü 7.00(ACDO.1) ve öncesi
- WBE530 aygıt yazılımı sürümü 7.00(ACLE.1) ve öncesi ve
- USG LITE 60AX donanım yazılımı sürümü V2.00(ACIP.2)
Tüm yamalar kullanıma sunuldu ve kullanıcıların cihazlarını mümkün olan en kısa sürede yükseltmeleri tavsiye ediliyor. Zyxel herhangi bir olası geçici çözüm veya mevcut hafifletici önlemlerden bahsetmiyor.
Zyxel güvenlik duvarlarında birden fazla güvenlik açığı
Zyxel, küçük ve orta ölçekli işletmeler ile şube lokasyonlarında kullanılmak üzere tasarlanan APT, USG Flex, USG Flex 50(W) ve USG20(W)-VPN güvenlik duvarlarını/birleşik güvenlik ağ geçitlerini etkileyen yedi güvenlik açığını giderdi.
Listede, yalnızca saldırganın yönetici düzeyinde ayrıcalıklara sahip olması ve kimliği doğrulanmış olması durumunda istismar edilebilen, DoS’a yol açan veya komut enjeksiyonuna ve yürütülmesine izin veren dört güvenlik açığı yer alıyor (CVE-2024-6343, CVE-2024-7203, CVE-2024-42059, CVE-2024-42060).
Geriye kalan üçü (CVE-2024-42057, CVE-2024-42058, CVE-2024-42061), kimliği doğrulanmamış bir saldırganın etkilenen bir cihazda işletim sistemi komutları yürütmesine, DoS’a neden olmasına veya bir kullanıcı XSS yüküyle hazırlanmış bir URL’yi ziyaret etmeye kandırıldıktan sonra tarayıcı tabanlı bilgileri elde etmesine olanak tanıyabilir.
CVE-2024-5412
Zyxel’in bazı 5G NR/4G LTE CPE, DSL/Ethernet CPE, fiber ONT, WiFi genişletici ve güvenlik yönlendirici aygıtlarının “libclinkc” kütüphanesinde bulunan bir arabellek taşması güvenlik açığı (CVE-2024-5412), kimliği doğrulanmamış bir saldırganın, güvenlik açığı bulunan bir aygıta özel hazırlanmış bir HTTP isteği göndererek hizmet reddi (DoS) durumunu tetiklemesine olanak tanıyabilir.
Yamalar az sayıda cihaz için hemen kullanılabilir durumda, ancak çoğu, yerel Zyxel destek ekibiyle iletişime geçildiğinde son kullanıcılar için kullanılabilir durumda.
“Zyxel cihazınızı bir İSS’den alan son kullanıcılar için, cihaz özel olarak oluşturulmuş ayarlara sahip olabileceğinden, doğrudan İSS’nin destek ekibine ulaşmanızı öneririz,” diye tavsiyede bulundu şirket. “İSS’ler için, daha fazla ayrıntı için lütfen Zyxel satış veya servis temsilcilerinizle iletişime geçin.”