Zyxel ออกแพตซ์แก้ไขช่องโหว่ RCE สำหรับอุปกรณ์ NAS ที่ End-of-life

Zyxel Network ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ระดับ Critical 3 รายการที่ส่งผลกระทบต่ออุปกรณ์ NAS รุ่นเก่าที่หมดอายุการใช้งานแล้ว (End-of-life)

โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อ NAS326 ที่ใช้ firmware versions 5.21(AAZF.16)C0 และเก่ากว่า รวมถึง NAS542 ที่ใช้ firmware versions 5.21(ABAG.13)C0 และเก่ากว่า

โดยช่องโหว่ระดับ Critical 3 รายการ ซึ่งทำให้ Hacker สามารถแทรกคำสั่ง และเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ อย่างไรก็ตามช่องโหว่อีก 2 รายการ ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ และการเปิดเผยข้อมูลไม่ได้รับการแก้ไขในผลิตภัณฑ์หมดอายุการใช้งานแล้ว (End-of-life) ในครั้งนี้

โดย Timothy Hjort นักวิจัยด้านความปลอดภัยของ Outpost24 เป็นผู้ค้นพบ และรายงานช่องโหว่ทั้ง 5 รายการแก่ Zyxel และต่อมาก็ได้เปิดเผยชุดสาธิตการโจมตี (PoC) ออกสู่สาธารณะ

โดยช่องโหว่ 5 รายการที่ถูกแจ้งไปยัง Zyxel ซึ่งมี 3 รายการที่ได้รับการแก้ไขดังนี้ :

  • CVE-2024-29972 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) ช่องโหว่ Command injection ในโปรแกรม CGI ('remote_help-cgi') ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถส่ง HTTP POST request ที่สร้างขึ้นเป็นพิเศษเพื่อรันคำสั่งบน OS โดยใช้บัญชี NsaRescueAngel backdoor ที่มีสิทธิ์รูทได้
  • CVE-2024-29973 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) ช่องโหว่ Command injection ใน 'setCookie' parameter ทำให้ Hacker สามารถส่ง HTTP POST request ที่สร้างขึ้นเป็นพิเศษเพื่อรันคำสั่งบน OS ได้
  • CVE-2024-29974 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ในโปรแกรม CGI ('file_upload-cgi') ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถอัปโหลดไฟล์ configuration ที่เป็นอันตรายบนอุปกรณ์ได้
  • CVE-2024-29975 (คะแนน CVSS 6.7/10 ความรุนแรงระดับ Medium) ช่องโหว่การจัดการสิทธิ์ที่ไม่เหมาะสมใน SUID executable binary ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถรันคำสั่งบนระบบในฐานะ "root" (ไม่ได้รับการแก้ไขช่องโหว่ในครั้งนี้)
  • CVE-2024-29976 (คะแนน CVSS 6.5/10 ความรุนแรงระดับ Medium) ช่องโหว่การจัดการสิทธิ์ที่ไม่เหมาะสมในคำสั่ง 'show_allsessions' ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถรับข้อมูลเซสชัน รวมถึงคุกกี้ของผู้ดูแลระบบที่ใช้งานอยู่ (ไม่ได้รับการแก้ไขช่องโหว่ในครั้งนี้)

แม้ว่า NAS ทั้งสองรุ่นจะสิ้นสุดระยะเวลาการสนับสนุนไปแล้วตั้งแต่วันที่ 31 ธันวาคม 2566 แต่ Zyxel ก็ได้ออกแพตซ์แก้ไขช่องโหว่สำหรับช่องโหว่ระดับ Critical 3 รายการในเวอร์ชัน 5.21(AAZF.17)C0 สำหรับ NAS326 และ 5.21(ABAG.14)C0 สำหรับ NAS542 และเนื่องจากช่องโหว่ดังกล่าวได้มีการปล่อย PoC ออกมาแล้ว แม้จะยังไม่มีข้อมูลการโจมตีจากช่องโหว่ดังกล่าว แต่ผู้ดูแลระบบก็ควรทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่โดยเร็วที่สุด

ที่มา : bleepingcomputer.com