Red Hot Cyber

Sicurezza informatica, cybercrime, hack
news, e altro ancora
  • English

Zyxel rilascia nuove fix per bug

Zyxel ha pubblicato un aggiornamento di sicurezza per gli amministratori che avverte di molteplici vulnerabilità nei suoi firewal e controller di accesso.

Sebbene le vulnerabilità non siano critiche, rappresentano comunque una minaccia sia da sole che insieme ad altre vulnerabilità.

Advertisements
  • CVE-2022-0734 – Scripting tra siti (XSS) nel componente CGI. La vulnerabilità consente a uno script di rubare i dati e di intercettare i cookie e i token di sessione memorizzati nel browser;
  • CVE-2022-26531 – Convalida input insufficiente in alcuni comandi CLI. La vulnerabilità potrebbe consentire a un utente malintenzionato autorizzato localmente di causare buffer overflow o un arresto anomalo del sistema;
  • CVE-2022-2653 – Command injection. La vulnerabilità consente a un utente malintenzionato locale e autorizzato di eseguire comandi arbitrari sul sistema operativo;
  • CVE-2022-0910 – bypass dell’autenticazione nella componente CGI. La vulnerabilità consente ad un utente malintenzionato di disabilitare l’autenticazione a due fattori tramite il client VPN IPsec.

Le vulnerabilità interessano USG/ZyWALL, USG FLEX, ATP, VPN, firewall NSG, controller di accesso NXC2500 e NXC5500, inclusi i modelli delle serie NAP, NWA, WAC e WAX.

Il produttore ha rilasciato aggiornamenti di sicurezza per la maggior parte dei modelli interessati. Tuttavia, gli hotfix per i controller dei punti di accesso non sono disponibili pubblicamente e gli amministratori devono richiederli ai loro rappresentanti Zyxel locali.

Advertisements

Per quanto riguarda i firewall, è stata rilasciata una nuova versione firmware 4.72 per USG/ZyWALL. USG FLEX, ATP e VPN dovrebbero essere aggiornati a ZLD 5.30 e i prodotti NSG hanno ricevuto una correzione tramite la patch 5 v1.33.

Pertanto consigliamo tutti i proprietari di apparati Zyxel  di procedere al patch management delle componenti.