Zyxel veröffentlicht kritische Sicherheitspatches für schwerwiegende NAS-Schwachstellen
Zyxel hat kritische Sicherheitspatches veröffentlicht, die drei Schwachstellen mit hoher Schweregrad in seinen NAS326- und NAS542-Geräten beheben. Diese Schwachstellen, die mit 9,8 von 10 Punkten für die Schwere bewertet wurden, umfassen ein Hintertür-Konto, einen Python-Code-Injektionsdefekt und eine Schwachstelle für Remote-Code-Ausführung. Obwohl diese Geräte ihr End-of-Life-Stadium im Dezember 2023 erreichen, hat Zyxel Patches für Kunden mit erweiterten Garantien bereitgestellt. Der Sicherheitsforscher Timothy Hjort von Outpost24 entdeckte diese Schwachstellen und zeigte deren Ausnutzung in einem Proof-of-Concept-Beispiel. Obwohl es bislang keine bekannten Berichte über die Ausnutzung dieser Schwachstellen in freier Wildbahn gibt, hat die Existenz einer ausbeutbaren Methode erhebliche Bedenken ausgelöst.
Wichtigste Erkenntnisse
- Zyxel hat drei Schwachstellen mit hoher Schwere in NAS-Geräten behoben, die als CVE-2024-29972, CVE-2024-29973 und CVE-2024-29974 identifiziert wurden.
- Die Schwachstellen umfassten ein Hintertür-Konto, Python-Code-Injektion und Remote-Code-Ausführung, jeweils mit einer Bewertung von 9,8/10 für die Schwere.
- Obwohl die Geräte ihr End-of-Life im Jahr 2023 erreichen, hat Zyxel Patches für Geräte mit erweiterten Garantien bereitgestellt.
- Darüber hinaus wurden zwei Schwachstellen mittlerer Schwere, CVE-2024-29975 und CVE-2024-29976, behoben, die Berechtigungseskalation betrafen.
- Der Sicherheitsforscher Timothy Hjort entdeckte die Schwachstellen und lieferte einen Proof-of-Concept für deren Ausnutzung.
Analyse
Der proaktive Ansatz von Zyxel, hochgefährliche Schwachstellen in seinen NAS-Geräten zu patchen, unterstreicht die kritische Bedeutung von Cybersicherheit, selbst für Altprodukte. Die identifizierten Schwachstellen, insbesondere das Hintertür-Konto und die Remote-Code-Ausführung, bergen erhebliche Risiken für Nutzer mit erweiterten Garantien und können zu Datenlecks und Systemkompromittierungen führen. Obwohl Zyxels Initiative, diese Geräte abzusichern, lobenswert ist, zeigt es die anhaltenden Herausforderungen bei der Aufrechterhaltung der Sicherheit für veraltete Hardware. Die Entdeckung durch Timothy Hjort und die Demonstration der Ausnutzbarkeit wecken branchenweite Bedenken hinsichtlich der Sicherheit ähnlicher Geräte und der Notwendigkeit einer kontinuierlichen Überwachung und Aktualisierung, auch nach dem End-of-Life.