Novedades - Title-Box

Novedades

Noticias, alertas y reportes que ayudan a mantenerte informado

ACTUALIZACIÓN DE SEGURIDAD CORRIGE VULNERABILIDADES CRÍTICAS DE ZYXEL

 

ACTUALIZACIÓN DE SEGURIDAD CORRIGE VULNERABILIDADES CRÍTICAS DE ZYXEL

30/11/2023

BOLETÍN NRO 2023-900

Recientemente, Zyxel ha lanzado actualizaciones de seguridad destinadas a abordar diversas vulnerabilidades que podrían permitir a un atacante no autenticado ejecutar comandos del sistema operativo en dispositivos de almacenamiento conectado a la red (NAS) vulnerables.

Servicios Afectados

• Dispositivos NAS326 versión 5.21(AAZF.14)C0 y anteriores
• Dispositivos NAS542 versión 5.21(ABAG.11)C0 y anteriores

Detalles Tecnicos

CVE: Múltiples

 

                                 Severidad:    CRÍTICA

Amenaza:  ---

 

                               Categoría: Vulnerabilidad

Zyxel ha abordado varias vulnerabilidades de seguridad, incluidos tres críticos que podrían permitir a un atacante no autenticado ejecutar comandos del sistema operativo en dispositivos de almacenamiento conectado a la red (NAS) vulnerables.

Los sistemas NAS de Zyxel se utilizan para almacenar datos en una ubicación centralizada en la red. Están diseñados para grandes volúmenes de datos y ofrecen funciones como copias de seguridad, transmisión de medios u opciones de uso compartido personalizadas.

CVE-2023-35137: Vulnerabilidad de autenticación inadecuada en el módulo de autenticación de dispositivos NAS de Zyxel, que permite a atacantes no autenticados obtener información del sistema a través de una URL manipulada. (puntuación de gravedad alta de 7.5)

CVE-2023-35138: Falla de inyección de comandos en la función "show_zysync_server_contents" en dispositivos NAS de Zyxel, permitiendo a atacantes no autenticados ejecutar comandos del sistema operativo mediante una solicitud HTTP POST manipulada. (puntuación de gravedad crítica de 9.8)

CVE-2023-37927: Vulnerabilidad en el programa CGI de dispositivos NAS de Zyxel, que permite a atacantes autenticados ejecutar comandos del sistema operativo con una URL manipulada. (puntuación de gravedad alta de 8.8)

CVE-2023-37928: Inyección de comandos post-autenticación en el servidor WSGI de dispositivos NAS de Zyxel, que permite a atacantes autenticados ejecutar comandos del sistema operativo mediante una URL manipulada. (puntuación de gravedad alta de 8.8)

CVE-2023-4473: Falla de inyección de comandos en el servidor web de dispositivos NAS de Zyxel, que permite a atacantes no autenticados ejecutar comandos del sistema operativo mediante una URL manipulada. (puntuación de gravedad crítica de 9.8)

CVE-2023-4474: Vulnerabilidad en el servidor WSGI de dispositivos NAS de Zyxel, que permite a atacantes no autenticados ejecutar comandos del sistema operativo con una URL manipulada. (puntuación de gravedad crítica de 9.8)

Los atacantes podrían explotar estas vulnerabilidades para obtener acceso no autorizado, ejecutar comandos del sistema operativo, obtener información sensible del sistema o tomar el control completo de los dispositivos NAS de Zyxel afectados.

El proveedor no ha proporcionado consejos ni soluciones alternativas de mitigación, siendo la actualización del firmware la acción recomendada.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Actualizar el dispositivo NAS326 a la versión V5.21(AAZF.15)C0 o posterior.

• Actualizar el dispositivo NAS542 a la versión V5.21(ABAG.12)C0 o posterior.

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

** Antes de aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

Este boletín es de carácter informativo, con información obtenida de páginas web externas. Se recomienda verificar y consultar con su especialista antes de tomar cualquier acción basada en la información del boletín. No se asume responsabilidad alguna por pérdidas o daños que surjan del uso de la información compartida en el boletín. Al utilizar el boletín, acepta estas condiciones y entiende que la responsabilidad recae exclusivamente en el usuario, no en SECURESOFT ni en su personal, respecto a cualquier decisión tomada en base a la información y recomendaciones proporcionadas en este boletín.


 

Asset Publisher

Asset Publisher