Zyxel ha solucionado varios problemas de seguridad, entre ellos tres críticos que podrían permitir a un atacante no autenticado ejecutar comandos del sistema operativo en dispositivos de almacenamiento conectados a la red (NAS) vulnerables.

Los sistemas NAS de Zyxel se utilizan para almacenar datos en una ubicación centralizada de la red. Están diseñados para grandes volúmenes de datos y ofrecen funciones como copia de seguridad de datos, transmisión multimedia u opciones de uso compartido personalizadas.

Entre los usuarios típicos de Zyxel NAS se encuentran pequeñas y medianas empresas que buscan una solución que combine gestión de datos, trabajo remoto y funciones de colaboración, así como profesionales de TI que configuran sistemas de redundancia de datos, o videógrafos y artistas digitales que trabajan con archivos de gran tamaño.

En un boletín de seguridad publicado hoy, el fabricante advierte de los siguientes fallos que afectan a los dispositivos NAS326 con la versión 5.21(AAZF.14)C0 y anteriores, y NAS542 con la versión 5.21(ABAG.11)C0 y anteriores.

• CVE-2023-35137: Vulnerabilidad de autenticación inadecuada en el módulo de autenticación de los dispositivos NAS de Zyxel, que permite a atacantes no autenticados obtener información del sistema a través de una URL manipulada. (puntuación de gravedad alta de 7,5)

• CVE-2023-35138: Fallo de inyección de comandos en la función "show_zysync_server_contents" de los dispositivos NAS de Zyxel, que permite a atacantes no autenticados ejecutar comandos del sistema operativo a través de una solicitud HTTP POST manipulada. (puntuación de gravedad crítica de 9,8)

• CVE-2023-37927: Vulnerabilidad en el programa CGI de los dispositivos NAS de Zyxel, que permite a los atacantes autenticados ejecutar comandos del sistema operativo con una URL falsificada. (puntuación de gravedad alta de 8,8)

• CVE-2023-37928: Inyección de comandos posterior a la autenticación en el servidor WSGI de los dispositivos NAS de Zyxel, lo que permite a los atacantes autenticados ejecutar comandos del sistema operativo a través de una URL manipulada. (puntuación de gravedad alta de 8,8)

• CVE-2023-4473: Fallo de inyección de comandos en el servidor web de los dispositivos NAS de Zyxel, que permite a atacantes no autenticados ejecutar comandos del sistema operativo a través de una URL manipulada. (puntuación de gravedad crítica de 9,8)

• CVE-2023-4474: Vulnerabilidad en el servidor WSGI de los dispositivos NAS de Zyxel, que permite a atacantes no autenticados ejecutar comandos del SO con una URL manipulada. (puntuación de gravedad crítica de 9,8)

Los actores de amenazas podrían explotar las vulnerabilidades mencionadas para obtener acceso no autorizado, ejecutar algunos comandos del sistema operativo, obtener información confidencial del sistema o tomar el control completo de los dispositivos NAS de Zyxel afectados. 

Para hacer frente a estos riesgos, se recomienda a los usuarios de NAS326 que actualicen a la versión V5.21(AAZF.15)C0 o posterior. Los usuarios de NAS542 deben actualizar su firmware a la versión V5.21(ABAG.12)C0 o posterior, que corrige los fallos mencionados.

El proveedor no ha proporcionado consejos de mitigación o soluciones, siendo la actualización del firmware la acción recomendada.

Fuente: bleepingcomputer