Pourquoi cela importe : Zyxel est principalement connu pour ses offres de haut débit et de réseau, mais la société taïwanaise vend également des dispositifs NAS pour les utilisateurs ayant besoin d’une véritable configuration de stockage axée sur le réseau. Cependant, une unité NAS vulnérable n’est pas une plaisanterie, et Zyxel met maintenant en garde les clients concernant un problème de sécurité particulièrement grave affectant ses produits de stockage.
Zyxel vient de publier un nouvel test de sécurité concernant la CVE-2023-27992, une vulnérabilité dangereuse découverte par des chercheurs en sécurité dans « certains » des dispositifs NAS vendus par la société asiatique. Cette faille, qui a un niveau de gravité « Critique » de 9.8, est décrite comme une vulnérabilité d’injection de commandes pré-authentification pouvant causer chaos et désordre (ou principalement des problèmes de violation de données) dans la configuration réseau des utilisateurs.
Zyxel indique que la vulnérabilité CVE-2023-27992 pourrait permettre à un attaquant non authentifié d’exécuter « certaines » commandes au niveau du système d’exploitation en envoyant à distance une requête HTTP malveillante spécialement conçue. L’absence d’exigence d’authentification rend la vulnérabilité particulièrement problématique.
La société ne propose aucune mesure d’atténuation, ce qui est souvent le cas. Désormais, Zyxel publie simplement un avertissement concernant les correctifs déjà disponibles et la nécessité de les installer dès que possible pour une « protection optimale » contre toute menace potentielle provenant d’Internet. Les failles ont été découvertes par Andrej Zaujec, de NCSC-FI, et Maxim Suslov.
Ce que Zyxel fournit rapidement, c’est une liste des appareils pris en charge et des versions de firmware affectées par la vulnérabilité CVE-2023-27992, qui, après une enquête interne « approfondie », comprend les produits de stockage réseau suivants :
- NAS326, firmware V5.21(AAZF.13)C0 et antérieurs, corrigé dans V5.21(AAZF.14)C0
- NAS540, firmware V5.21(AATB.10)C0 et antérieurs, corrigé dans V5.21(AATB.11)C0
- NAS542, firmware V5.21(ABAG.10)C0 et antérieurs, corrigé dans V5.21(ABAG.11)C0
Les clients doivent installer les dernières versions de firmware disponibles pour les modèles de NAS mentionnés ci-dessus, car les cybercriminels et les acteurs étatiques parrainés sont généralement rapides à adapter leurs stratégies d’attaque aux nouvelles failles et exploits testés contre les produits de réseau.
Aux côtés d’autres fabricants de hardware de réseau tels que QNAP et Synology, Zyxel est en effet souvent la cible de campagnes malveillantes et d’opérations de ransomware sournoises conçues pour compromettre des organisations et chiffrer les données des utilisateurs. Le mois dernier seulement, les pare-feu de Zyxel et leurs dispositifs VPN ont dû endurer une nouvelle vague d’attaques à distance massives visant certaines failles récemment découvertes (CVE-2023-28771, CVE-2023-33009 et CVE-2023-33010).
Découvrez le reportage du mois (sous-titré en français), l’IA gagnera t-elle face aux champion du monde du jeu de Go ? :
