Zyxel, bien connu pour ses solutions réseau, fait face à une série de vulnérabilités tests affectant un large éventail de ses produits. Comme ces failles peuvent compromettre la sécurité des utilisateurs, il est essentiel de se pencher sur les détails des mises à jour de firmware et les mesures à prendre pour garantir la protection de votre réseau.
Message d’intérêt public : Les particuliers ou les entreprises qui utilisent les solutions réseau Zyxel utilisent probablement des équipements défectueux. L’entreprise a récemment répertorié neuf failles de sécurité graves dans plus de 50 produits, allant des points d’accès aux pare-feu. Zyxel a publié des correctifs pour toutes les failles, mais une intervention administrative est nécessaire pour mettre à jour le firmware.
Mardi, le constructeur de réseaux Zyxel a publié neuf test de sécurité concernant des dizaines de ses produits. La plupart des vulnérabilités sont classées comme « élevées ». La plus dangereuse (CVE-2024-7261) a une cote « test » de 9,8 sur une échelle de 10. Cette vulnérabilité peut permettre aux pirates de prendre le contrôle de l’appareil exploité et de l’utiliser comme point d’entrée vers l’ensemble du réseau.
Selon le comuniqué Common Vulnerabilities and Exposures, CVE-2024-7261 peut permettre à des acteurs malveillants d’envoyer à l’appareil compromis un cookie malveillant qui peut exécuter des commandes au sein du système d’exploitation. Cette faille affecte 29 points d’accès et routeurs de sécurité Zyxel. Les administrateurs doivent consulter le test pour connaître les modèles vulnérables et la disponibilité des correctifs.
Le site Web Common Weakness Enumeration indique que CVE-2024-7261 ne parvient pas à neutraliser les éléments spéciaux dans les entrées externes provenant d’un périphérique en amont. Ce vecteur d’attaque, connu sous le nom d’« injection de commande du système d’exploitation » ou « injection de shell », permet aux attaquants de créer des entrées malveillantes qui exécutent des commandes sur le système d’exploitation sans authentification.
Une deuxième vulnérabilité, CVE-2024-5412, affecte 50 appareils, dont des CPE 5G NR, des CPE DSL/Ethernet, des ONT à fibre optique, des prolongateurs WiFi et des routeurs de sécurité. Bien qu’elle soit moins test que la faille précédente, sa cote de 7,5 est toujours considérée comme très grave. Les produits présentant cette faille ne parviennent pas à effectuer des vérifications de longueur lors de la copie d’un tampon d’entrée vers un tampon de sortie. Si l’entrée dépasse la capacité du tampon de sortie, cela crée un débordement de tampon, permettant à un attaquant d’exécuter du code arbitraire sur la machine vulnérable.
Un troisième test de sécurité contient sept vulnérabilités, toutes affectant les pare-feu de Zyxel. Le suivi CVE indique les éléments suivants :
- CVE-2024-6343 – Dépassement de mémoire tampon. Évaluation : 4,9 (moyenne).
- CVE-2024-7203 – Injection de commande après authentification. Évaluation : 7,2 (élevée).
- CVE-2024-42057 – Injection de commandes dans la fonctionnalité VPN IPSec. Évaluation : 8,1 (élevée).
- CVE-2024-42058 – Vulnérabilité de déréférencement de pointeur nul. Évaluation : 7,5 (élevée).
- CVE-2024-42059 – Injection de commande après authentification. Évaluation : 7,2 (élevée).
- CVE-2024-42060 – Injection de commande après authentification. Évaluation : 7,2 (élevée).
- CVE-2024-42061 – Vulnérabilité de type cross-site scripting (XSS). Évaluation : 6,1 (moyenne).
Zyxel affirme avoir corrigé tous ces défauts, y compris les deux précédemment cités. L’test contient des liens vers la plupart des mises à jour du firmware, mais certains appareils peuvent nécessiter de contacter votre représentant local du service Zyxel pour y remédier.
Les problèmes de sécurité graves et généralisés rencontrés avec les produits Zyxel ne sont pas rares. L’année dernière, des chercheurs ont découvert des vulnérabilités tests dans les pare-feu et les périphériques de stockage en réseau de Zyxel. En 2021, ils ont également découvert une porte dérobée de niveau administrateur dans les pare-feu et les contrôleurs de points d’accès de l’entreprise.