Zyxel Fixed の Firewall／Access Point／NAS デバイス：複数の脆弱性が FIX

Zyxel Fixed Tens Of Flaws In Firewalls, Access Points, And NAS Devices

2023/12/04 SecurityAffairs — 台湾のベンダーである Zyxel は、同社のファイアウォール／アクセスポイントに存在する数十件の問題に対処した。対処された脆弱性は、CVE-2023-35136／CVE-2023-35139／CVE-2023-37925／CVE-2023-37926／CVE-2023-4397／CVE-2023-4398／CVE-2023-5650／CVE-2023-5797／CVE-2023-5960 である。

これらの脆弱性の悪用に成功した攻撃者は、クッキーの窃取／コンフィグ・ファイルへのアクセス／コマンド・インジェクション／サービス拒否攻撃などを引き起こす可能性がある。

以下は、Zyxel が修正した脆弱性のリストである：

CVE-2023-35136：一部のファイアウォール・バージョンの “Quagga” パッケージに存在する不適切な入力検証の脆弱性により、認証を受けたローカル攻撃者が、影響を受けるデバイス上のコンフィグ・ファイルにアクセスする可能性が生じる。

CVE-2023-35139：いくつかのファイアウォール・バージョンの “CGI” プログラムには、クロスサイト・スクリプティング (XSS) の脆弱性が存在する。認証されていない LAN ベースの攻撃者により、脆弱なデバイスに悪意のあるスクリプトが保存される可能性がある。この XSS 攻撃に成功すると、ZTP ログをダンプに使用される特定の CGI にユーザーがアクセスした際に、保存された悪意のあるスクリプトが実行され、クッキーが摂取される可能性が生じる。

CVE-2023-37925：一部のファイアウォールおよび AP バージョンの “debug CLI” コマンドには、不適切な特権管理の脆弱性が存在する。認証されたローカル攻撃者が、影響を受けるデバイス上のシステム・ファイルにアクセスする可能性が生じる。

CVE-2023-37926：一部のファイアウォール・バージョンに、バッファオーバーフローの脆弱性が存在する。認証されたローカル攻撃者が、影響を受けるデバイス上のシステム・ログをダンプする CLI コマンドを実行する際に、サービス運用妨害 (DoS) 状態が引き起こされる可能性が生じる。

CVE-2023-4397：一部のファイアウォール・バージョンに、バッファ・オーバーフローの脆弱性が存在する。管理者権限を持つ認証済みのローカル攻撃者が、影響を受けるデバイス上で、細工した 文字列を含む CLI コマンドを実行することで、DoS 状態を引き起こす可能性がある。

CVE-2023-4398：一部のファイアウォールのバージョンで使用される VPN 機能には、”QuickSec IPSec” ツールキットのソースコードに起因する、整数オーバーフローの脆弱性が存在する。モートの認証されていない攻撃者が、細工した IKE パケットを送信することで、影響を受けるデバイス上で DoS 状態が引き起こされる可能性がある。

CVE-2023-5650：一部のファイアウォールの ZySH には、特権管理の脆弱性が存在する。認証されたローカル攻撃者が、影響を受けるデバイスの Web GUI の、登録ページの URL を変更する可能性がある。

CVE-2023-5797：一部のファイアウォールおよび AP バージョンには、”debug CLI” コマンドに起因する不適切な特権管理の脆弱性が存在する。認証を受けたローカル攻撃者が、影響を受けるデバイスの管理者ログにアクセスする可能性がある。

CVE-2023-5960：一部のファイアウォール・バージョンの hotspot 機能には、不適切な権限管理の脆弱性が存在する。認証を受けたローカル攻撃者が、影響を受けるデバイス上のシステム・ファイルにアクセスする可能性がある。

さらに Zyxel は、NAS 製品である NAS226／NAS542 における認証バイパス／コマンド・インジェクションの脆弱性にも対処した。

以下は、ベンダーが修正した NAS の欠陥のリストである：

CVE-2023-35137：Zyxel NAS デバイスの認証モジュールには、不適切な認証の脆弱性が存在する。認証されていない攻撃者が、細工した URL を脆弱なデバイスに送信することで、システム情報を取得する可能性がある。

CVE-2023-35138：Zyxel NAS デバイスの “show_zysync_server_contents” 関数には、コマンド・インジェクションの脆弱性が存在する。細工した HTTP POST リクエストを送信することで、認証されていない攻撃者に OS コマンドを実行される可能性がある。

CVE-2023-37927：Zyxel NAS デバイスの CGI プログラムは、特別な要素の不適切な無効化の税脆弱性が存在する。認証済みの攻撃者が、細工した URL を脆弱なデバイスに送信することで、一部の OS コマンドが実行される可能性が生じる。

CVE-2023-37928：Zyxel NAS デバイスの WSGI サーバには、認証後のコマンド・インジェクションの脆弱性が存在する。認証された攻撃者が、細工した URL を脆弱なデバイスに送信することで、一部の OS コマンドが実行される可能性が生じる。

CVE-2023-4473：Zyxel NAS デバイスの Web サーバには、コマンド・インジェクションの脆弱性が存在する。細工した URL が脆弱なデバイスに送信されることで、認証されていない攻撃者に OS コマンドの一部を実行される可能性が生じる。

CVE-2023-4474：Zyxel NAS デバイスの WSGI サーバには、特殊要素の不適切な無効化の税脆弱性が存在する。認証されていない攻撃者が、細工した URL を脆弱なデバイスに送信することで、 いくつかの OS コマンドが実行される可能性がある。

つい先日の 2023/11/30 にも、「Zyxel NAS326／NAS542 の脆弱性 CVE-2023-35138 などが FIX：直ちにアップデートを！」という記事がポストされ、Zyxel NAS に関する警告が発生られていました。今日の記事の後半部分と、先日の記事は重複していますが、よろしければ、Zyxel で検索と併せて、ご参照ください。