Vulnérabilité critique d’injection de commande détectée dans le NAS Zyxel

Attention, utilisateurs de Zyxel ! Les fournisseurs ont récemment publié des correctifs pour une grave vulnérabilité de sécurité affectant les produits Zyxel NAS. L’exploitation de la vulnérabilité pourrait permettre l’exécution de commandes arbitraires sur les appareils cibles. Les utilisateurs doivent se précipiter pour mettre à jour leurs appareils avec des versions de firmware corrigées pour éviter les attaques potentielles.

Vulnérabilité d’injection de commande du système d’exploitation Zyxel NAS

Selon un récent consultatif du géant de la technologie réseau Zyxel Networks, leurs appareils NAS présentaient une vulnérabilité de sécurité critique.

Zyxel propose une gamme de périphériques NAS (Network Attached Storage) permettant aux utilisateurs personnels et professionnels de stocker leurs données en toute sécurité. Ces appareils compatibles avec le cloud permettent aux utilisateurs de stocker et d’accéder à leurs données à partir du NAS à tout moment sans craindre les violations de tiers. Il suffit d’une connexion Wi-Fi pour transférer des photos, des vidéos et d’autres éléments personnels ou professionnels vers l’appareil NAS.

Bien que cela semble utile et moins risqué, toute vulnérabilité affectant ces appareils rend directement les données des utilisateurs vulnérables.

Comme expliqué dans l’avis, le fournisseur a corrigé une vulnérabilité d’injection de commande du système d’exploitation affectant le micrologiciel de ses périphériques NAS. Cette vulnérabilité pourrait permettre à un adversaire non authentifié d’exécuter des commandes de système d’exploitation distantes sur les appareils cibles en envoyant des requêtes HTTP conçues de manière malveillante.

La vulnérabilité affecte trois modèles de NAS Zyxel différents, dont les suivants.

• NAS326 – V5.21(AAZF.13)C0 et versions antérieures
• NAS540 – V5.21(AATB.10)C0 et versions antérieures
• NAS542 – V5.21(ABAG.10)C0 et versions antérieures

Après avoir détecté la faille, le fournisseur a rapidement travaillé sur la correction du bogue, en publiant le correctif avec les mises à jour suivantes.

• NAS326 – V5.21(AAZF.14)C0
• NAS540 – V5.21(AATB.11)C0
• NAS542 – V5.21(ABAG.11)C0

Cette vulnérabilité d’injection de commande du système d’exploitation de pré-authentification (CVE-2023-27992) a reçu une cote de gravité critique avec un score CVSS de 9,8. Zyxel a remercié Andrej Zaujec du National Cyber ​​​​Security Center Finland (NCSC-FI) et Maxim Suslov pour avoir signalé la faille.

Bien que le fournisseur n’ait actuellement rien mentionné sur la détection de l’exploitation active de la vulnérabilité. Pourtant, ils exhortent les utilisateurs à mettre à jour leurs appareils respectifs avec les dernières mises à jour du micrologiciel pour recevoir les corrections de bogues à temps.

Faites-nous part de vos réflexions dans les commentaires.