Zyxel no abandonó el antiguo NAS: nuevas correcciones eliminan tres vulnerabilidades a la vez

Zyxel ha lanzado una actualización de seguridad para abordar tres vulnerabilidades críticas en modelos más antiguos de dispositivos NAS cuyo soporte ya expiró.

Las vulnerabilidades afectan a los modelos NAS326 con firmware versión 5.21(AAZF.16)C0 y anteriores, así como a los NAS542 con firmware versión 5.21(ABAG.13)C0 y anteriores.

Estas vulnerabilidades permiten a los atacantes ejecutar comandos e introducir código de manera remota. Sin embargo, otras dos vulnerabilidades relacionadas con la escalada de privilegios y la divulgación de información no fueron corregidas en estos dispositivos. Quién sabe, tal vez la empresa solucione estos problemas más adelante.

Timothy Hjort, investigador de seguridad de la empresa Outpost24, descubrió y reportó las cinco vulnerabilidades a Zyxel. Ayer, 4 de junio, Hjort publicó un informe detallado y una demostración del funcionamiento de los exploits de prueba de concepto (PoC) en coordinación con Zyxel.

Las vulnerabilidades que se corrigieron incluyen:

• CVE-2024-29972: Vulnerabilidad de inyección de comandos en el programa CGI («remote_help-cgi»), que permite a un atacante no autenticado enviar una solicitud HTTP POST especialmente diseñada para ejecutar comandos del sistema operativo usando la cuenta NsaRescueAngel con privilegios de root.
• CVE-2024-29973: Vulnerabilidad de inyección de comandos en el parámetro «setCookie», que permite a un atacante enviar una solicitud HTTP POST especialmente diseñada para ejecutar comandos del sistema.
• CVE-2024-29974: Error de ejecución remota de código en el programa CGI («file_upload-cgi»), que permite a un atacante no autenticado cargar archivos de configuración maliciosos en el dispositivo.

No se corrigieron las siguientes vulnerabilidades:

• CVE-2024-29975: Error de gestión de privilegios en el archivo binario ejecutable SUID, que permite a un atacante local autenticado con derechos de administrador ejecutar comandos del sistema en nombre del usuario root.
• CVE-2024-29976: Problema de gestión de privilegios en el comando «show_allsessions», que permite a un atacante autenticado obtener información sobre las sesiones, incluidas las cookies activas del administrador.

Aunque el soporte para estos modelos de NAS finalizó el 31 de diciembre de 2023, Zyxel lanzó correcciones para tres vulnerabilidades críticas en las versiones 5.21(AAZF.17)C0 para NAS326 y 5.21(ABAG.14)C0 para NAS542. Esto destaca a la empresa frente a sus competidores, que a menudo se niegan a lanzar revisiones para equipos fuera del ciclo de soporte.

Los representantes de Zyxel informan que hasta el momento no se han registrado casos de explotación de las vulnerabilidades en condiciones reales. Sin embargo, considerando la existencia de pruebas de concepto públicas de los exploits, se recomienda a los propietarios de los dispositivos aplicar las actualizaciones de seguridad lo antes posible.