Vulnérabilités critiques repérées dans le pare-feu Zyxel

Attention, utilisateurs de Zyxel ! Les fournisseurs ont corrigé quelques vulnérabilités critiques dans le pare-feu Zyxel qui pourraient permettre des attaques d’exécution de commandes à distance. Les utilisateurs doivent se précipiter pour mettre à jour leurs appareils avec les dernières versions logicielles pour recevoir les correctifs.

Plusieurs vulnérabilités trouvées dans le pare-feu Zyxel

Zyxel – le géant chinois de la technologie et des réseaux – a corrigé plusieurs vulnérabilités du pare-feu avec les dernières versions.

Plus précisément, les fournisseurs ont corrigé trois vulnérabilités de sécurité affectant leurs dispositifs de pare-feu.

Le premier d’entre eux est une vulnérabilité d’exécution de commande à distance de gravité critique, CVE-2023-28771 (CVSS 9.8). D’après Zyxel consultatif, la faille existait en raison d’une mauvaise gestion des messages, permettant à un adversaire distant non authentifié d’exécuter des commandes du système d’exploitation sur les périphériques de pare-feu cibles. Pour exploiter la faille, l’attaquant devait envoyer des paquets de données construits de manière malveillante à l’appareil cible.

Les appareils concernés par cette vulnérabilité incluent ATP ZLD V4.60 à V5.35, USG FLEX ZLD V4.60 à V5.35, VPN ZLD V4.60 à V5.35, ZyWALL/USG ZLD V4.60 à V4.73. Zyxel a crédité TRAPA Security pour avoir détecté et signalé cette faille.

La vulnérabilité suivante, CVE-2023-27990, est une vulnérabilité de script intersite (XSS) de haute gravité (CVSS 8.8) dans les pare-feu Zyxel. L’exploitation de cette faille pourrait permettre à un adversaire authentifié avec des privilèges d’administrateur de stocker des scripts malveillants sur l’appareil cible. Les scripts s’exécuteraient si un utilisateur visitait la page Journaux.

Ensuite, la troisième vulnérabilité, CVE-2023-27991, pourrait également permettre des attaques par injection de commande du système d’exploitation. La faille impactait la commande CLI des pare-feux, permettant à un attaquant authentifié d’exécuter des commandes à distance.

D’après Zyxel consultatif, ces deux vulnérabilités affectaient ATP ZLD V4.32 à V5.35, USG FLEX ZLD V4.50 à V5.35, USG FLEX 50(W)/USG20(W)-VPN ZLD V4.16 à V5.35, et VPN ZLD V4.30 à V5.35. Zyxel a attribué Alessandro Sgreccia de Tecnical Service SRL pour avoir signalé les deux vulnérabilités.

Correctifs déployés

Zyxel a corrigé les trois vulnérabilités avec les dernières versions logicielles pour les appareils vulnérables. Plus précisément, les versions corrigées incluent ATP ZLD V5.36, USG FLEX ZLD V5.36, VPN ZLD V5.36, ZyWALL/USG ZLD V4.73 Patch 1 (correction de bogue pour CVE-2023-28771) et USG FLEX 50( W) / USG20(W)-VPN ZLD V5.36 (correction de bogue pour CVE-2023-27990, CVE-2023-27991).

Bien que les mises à jour puissent atteindre automatiquement les personnes concernées, les utilisateurs doivent vérifier manuellement les mises à jour possibles pour leurs appareils afin de s’assurer de recevoir les correctifs à temps.

Faites-nous part de vos réflexions dans les commentaires.