[TLP:CLEAR] Zyxel opravuje 3 zranitelnosti ve svých produktech

Zyxel opravuje 3 vysoce závažné zranitelnosti ve svých produktech. Informace o konkrétních produktech a opravených verzích naleznete na [1]. Je důležité poznamenat, že přístup WAN je ve výchozím nastavení zakázán a útok je možný pouze při kompromitaci silného administrátorského hesla [1].

Zyxel DSL/Ethernet CPE firmware - post-authentication command injection (CVE-2024-11253) CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je prostřednictvím parametru "DNSServer" v určitých verzích firmwaru DSL/Ethernet CPE umožněno vykonávat příkazy v operačním systému zranitelného zařízení [1][2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 11. 3. 2025.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - post-authentication command injection (CVE-2024-12009) CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je prostřednictvím fukce "ZyEE" v určitých verzích firmwaru DSL/Ethernet CPE, fiber ONT a WiFi extenderů umožněno vykonávat příkazy v operačním systému zranitelného zařízení [1][3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 11. 3. 2025.

Zyxel DSL/Ethernet CPE, fiber ONT a WiFi extender firmware - post-authentication command injection (CVE-2024-12010) CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je prostřednictvím funkce ”zyUtilMailSend” v určitých verzích firmwaru DSL/Ethernet CPE, fiber ONT a WiFi extenderů umožněno vykonávat příkazy v operačním systému zranitelného zařízení [1][4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 11. 3. 2025.

Za CESNET-CERTS Michaela Jarošová dne 11. 3. 2025.

CESNET CERTS Logo