Zyxel ha lanzado parches de seguridad que corrigen múltiples vulnerabilidades en algunas versiones de firewall, routers, puntos de acceso (AP): 5G, DSL, Wi-Fi y fibra óptica. Las vulnerabilidades detectadas podrían permitir a un ciberdelincuente provoca condiciones de denegación de servicio (DoS), así como ejecutar comandos del sistema operativo o código no autorizado de forma remota.
Análisis
Entre las vulnerabilidades descritas destacan tres por su severidad crítica.
Dos de las vulnerabilidades son de inyección de comandos y podrían permitir a un ciberdelincuente, no autenticado, ejecutar comandos del sistema operativo mediante el envío de una solicitud HTTP POST.
Otra de las vulnerabilidades es de ejecución remota de código y podría permitir a un ciberdelincuente, no autenticado, ejecutar código arbitrario cargando un archivo en un dispositivo vulnerable.
Las vulnerabilidades corregidas son las siguientes:
- CVE-2024-6343
- CVE-2024-7203
- CVE-2024-42057
- CVE-2024-42058
- CVE-2024-42059
- CVE-2024-42060
- CVE-2024-42061
Recursos afectados
Entre los recursos afectados hay Firewalls, AP, Routers de seguridad, 5G NR/4G LTE CPE, DSL/ETHERNET CPE, Fibras ONT, y Extensores Wi-Fi. (consultar los productos específicos en el enlace de la noticia)
Recomendaciones
Se recomienda a los usuarios de estos productos que actualicen el firmware para una mayor protección (acceda a los enlaces de las referencias para descargar las actualizaciones correspondientes a cada producto).
Referencias
- https://www.incibe.es/empresas/avisos/zyxel-lanza-parches-de-seguridad-que-corrigen-multiples-vulnerabilidades-en-algunos
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-buffer-overflow-vulnerability-in-some-5g-nr-cpe-dsl-ethernet-cpe-fiber-ont-wifi-extender-and-security-router-devices-09-03-2024
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-os-command-injection-vulnerability-in-aps-and-security-router-devices-09-03-2024