Le fabricant d’\u00e9quipements de r\u00e9seautage Zyxel a publi\u00e9 des correctifs pour une faille de s\u00e9curit\u00e9 critique dans ses dispositifs de pare-feu qui pourraient \u00eatre exploit\u00e9s pour obtenir l’ex\u00e9cution de code \u00e0 distance sur les syst\u00e8mes concern\u00e9s.<\/p>\n
Le probl\u00e8me, suivi comme CVE-2023-28771<\/a>, est not\u00e9 9,8 sur le syst\u00e8me de notation CVSS. Les chercheurs de TRAPA Security ont \u00e9t\u00e9 cr\u00e9dit\u00e9s d’avoir signal\u00e9 la faille.<\/p>\n “Une mauvaise gestion des messages d’erreur dans certaines versions de pare-feu pourrait permettre \u00e0 un attaquant non authentifi\u00e9 d’ex\u00e9cuter certaines commandes du syst\u00e8me d’exploitation \u00e0 distance en envoyant des paquets sp\u00e9cialement con\u00e7us \u00e0 un appareil affect\u00e9”, a d\u00e9clar\u00e9 Zyxel. a dit<\/a> dans un avis le 25 avril 2023.<\/p>\n Les produits impact\u00e9s par la faille sont –<\/p>\n Zyxel a \u00e9galement adress\u00e9<\/a> une vuln\u00e9rabilit\u00e9 d’injection de commande post-authentification tr\u00e8s grave affectant certaines versions de pare-feu (CVE-2023-27991<\/a>score CVSS\u00a0: 8,8) qui pourrait permettre \u00e0 un attaquant authentifi\u00e9 d’ex\u00e9cuter certaines commandes du syst\u00e8me d’exploitation \u00e0 distance.<\/p>\n La lacune, qui affecte les appareils ATP, USG FLEX, USG FLEX 50(W) \/ USG20(W)-VPN et VPN, a \u00e9t\u00e9 r\u00e9solue dans ZLD V5.36.<\/p>\n Apprenez \u00e0 arr\u00eater les ransomwares avec une protection en temps r\u00e9el<\/p>\n Rejoignez notre webinaire et d\u00e9couvrez comment arr\u00eater les attaques de ransomwares dans leur \u00e9lan gr\u00e2ce \u00e0 la MFA en temps r\u00e9el et \u00e0 la protection des comptes de service.<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n Enfin, la soci\u00e9t\u00e9 a \u00e9galement correctifs exp\u00e9di\u00e9s<\/a> pour cinq failles de gravit\u00e9 \u00e9lev\u00e9e affectant plusieurs pare-feu et p\u00e9riph\u00e9riques de point d’acc\u00e8s (AP) (de CVE-2023-22913 \u00e0 CVE-2023-22918) qui pourraient entra\u00eener l’ex\u00e9cution de code et provoquer une condition de d\u00e9ni de service (DoS).<\/p>\n Nikita Abramov de la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Positive Technologies a \u00e9t\u00e9 reconnue pour avoir signal\u00e9 les probl\u00e8mes. Abramov, plus t\u00f4t cette ann\u00e9e, a \u00e9galement d\u00e9couvert<\/a> quatre vuln\u00e9rabilit\u00e9s d’injection de commande et de d\u00e9passement de m\u00e9moire tampon dans les CPE, les ONT fibre et les extensions WiFi.<\/p>\n Le plus grave des d\u00e9fauts est CVE-2022-43389<\/a> (score CVSS : 9,8), une vuln\u00e9rabilit\u00e9 de d\u00e9bordement de tampon affectant les appareils CPE 5G NR\/4G LTE.<\/p>\n “Il ne n\u00e9cessitait pas d’authentification pour \u00eatre exploit\u00e9 et conduisait \u00e0 l’ex\u00e9cution de code arbitraire sur l’appareil”, a d\u00e9clar\u00e9 Abramov. expliqu\u00e9<\/a> \u00e0 l’\u00e9poque. “En cons\u00e9quence, un attaquant pourrait acc\u00e9der \u00e0 distance \u00e0 l’appareil et contr\u00f4ler enti\u00e8rement son fonctionnement.”<\/p>\n <\/p>\n\n