Le fabricant d’équipements de réseautage Zyxel a publié des correctifs pour une faille de sécurité critique dans ses dispositifs de pare-feu qui pourraient être exploités pour obtenir l’exécution de code à distance sur les systèmes concernés.
Le problème, suivi comme CVE-2023-28771, est noté 9,8 sur le système de notation CVSS. Les chercheurs de TRAPA Security ont été crédités d’avoir signalé la faille.
« Une mauvaise gestion des messages d’erreur dans certaines versions de pare-feu pourrait permettre à un attaquant non authentifié d’exécuter certaines commandes du système d’exploitation à distance en envoyant des paquets spécialement conçus à un appareil affecté », a déclaré Zyxel. a dit dans un avis le 25 avril 2023.
Les produits impactés par la faille sont –
- ATP (versions ZLD V4.60 à V5.35, patché dans ZLD V5.36)
- USG FLEX (versions ZLD V4.60 à V5.35, corrigées dans ZLD V5.36)
- VPN (versions ZLD V4.60 à V5.35, patché dans ZLD V5.36), et
- ZyWALL/USG (versions ZLD V4.60 à V4.73, corrigées dans ZLD V4.73 Patch 1)
Zyxel a également adressé une vulnérabilité d’injection de commande post-authentification très grave affectant certaines versions de pare-feu (CVE-2023-27991score CVSS : 8,8) qui pourrait permettre à un attaquant authentifié d’exécuter certaines commandes du système d’exploitation à distance.
La lacune, qui affecte les appareils ATP, USG FLEX, USG FLEX 50(W) / USG20(W)-VPN et VPN, a été résolue dans ZLD V5.36.
Apprenez à arrêter les ransomwares avec une protection en temps réel
Rejoignez notre webinaire et découvrez comment arrêter les attaques de ransomwares dans leur élan grâce à la MFA en temps réel et à la protection des comptes de service.
Enfin, la société a également correctifs expédiés pour cinq failles de gravité élevée affectant plusieurs pare-feu et périphériques de point d’accès (AP) (de CVE-2023-22913 à CVE-2023-22918) qui pourraient entraîner l’exécution de code et provoquer une condition de déni de service (DoS).
Nikita Abramov de la société russe de cybersécurité Positive Technologies a été reconnue pour avoir signalé les problèmes. Abramov, plus tôt cette année, a également découvert quatre vulnérabilités d’injection de commande et de dépassement de mémoire tampon dans les CPE, les ONT fibre et les extensions WiFi.
Le plus grave des défauts est CVE-2022-43389 (score CVSS : 9,8), une vulnérabilité de débordement de tampon affectant les appareils CPE 5G NR/4G LTE.
« Il ne nécessitait pas d’authentification pour être exploité et conduisait à l’exécution de code arbitraire sur l’appareil », a déclaré Abramov. expliqué à l’époque. « En conséquence, un attaquant pourrait accéder à distance à l’appareil et contrôler entièrement son fonctionnement. »
