Zyxel ha publicado actualizaciones de software para solucionar un fallo de seguridad crítico que afecta a determinadas versiones de puntos de acceso (AP) y routers de seguridad y que podría dar lugar a la ejecución de comandos no autorizados.

Rastreada como CVE-2024-7261 (puntuación CVSS: 9,8), la vulnerabilidad se ha descrito como un caso de inyección de comandos del sistema operativo (SO).

"La neutralización inadecuada de elementos especiales en el parámetro 'host' en el programa CGI de algunas versiones de AP y routers de seguridad podría permitir a un atacante no autenticado ejecutar comandos del sistema operativo mediante el envío de una cookie a un dispositivo vulnerable", dijo Zyxel en un comunicado.

Chengchao Ai, del equipo ROIS de la Universidad de Fuzhou, es el autor del descubrimiento y la notificación del fallo.

Zyxel también ha enviado actualizaciones para siete vulnerabilidades en sus routers y firewalls, incluyendo algunas de alta gravedad, que podrían resultar en la ejecución de comandos del sistema operativo, una denegación de servicio (DoS), o acceder a información basada en el navegador:

• CVE-2024-5412 (puntuación CVSS: 7,5): Vulnerabilidad de desbordamiento de búfer en la biblioteca "libclinkc" que podría permitir a un atacante no autenticado provocar condiciones de denegación de servicio mediante una solicitud HTTP especialmente diseñada.

• CVE-2024-6343 (puntuación CVSS: 4,9): Vulnerabilidad de desbordamiento de búfer que podría permitir a un atacante autenticado con privilegios de administrador provocar condiciones de denegación de servicio mediante una solicitud HTTP especialmente diseñada.

• CVE-2024-7203 (puntuación CVSS: 7,2): Vulnerabilidad de inyección de comandos posterior a la autenticación que podría permitir a un atacante autenticado con privilegios de administrador ejecutar comandos del sistema operativo.

• CVE-2024-42057 (puntuación CVSS: 8,1): Vulnerabilidad de inyección de comandos en la función VPN IPSec que podría permitir a un atacante no autenticado ejecutar algunos comandos del sistema operativo.

• CVE-2024-42058 (puntuación CVSS: 7,5): Vulnerabilidad de desviación de puntero nulo que podría permitir a un atacante no autenticado provocar condiciones de denegación de servicio mediante el envío de paquetes manipulados.

• CVE-2024-42059 (puntuación CVSS: 7,2): Vulnerabilidad de inyección de comandos posterior a la autenticación que podría permitir a un atacante autenticado con privilegios de administrador ejecutar algunos comandos del sistema operativo mediante la carga de un archivo de idioma comprimido manipulado a través de FTP.

• CVE-2024-42060 (puntuación CVSS: 7,2): Una vulnerabilidad de inyección de comandos posterior a la autenticación en algunas versiones de cortafuegos podría permitir a un atacante autenticado con privilegios de administrador ejecutar algunos comandos del sistema operativo.

• CVE-2024-42061 (puntuación CVSS: 6,1): Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada en el programa CGI "dynamic_script.cgi" que podría permitir a un atacante engañar a un usuario para que visite una URL manipulada con la carga útil XSS y obtener información basada en el navegador.

El desarrollo se produce cuando D-Link dijo que cuatro vulnerabilidades de seguridad que afectan a su router DIR-846, contando dos vulnerabilidades críticas de ejecución remota de comandos (CVE-2024-44342, puntuación CVSS: 9,8) no serán parcheadas debido a que los productos alcanzan el final de su vida útil (EoL) en febrero de 2020, instando a los clientes a reemplazarlos por versiones de soporte.

Fuente: thehackernews