Zyxel publie des correctifs de sécurité critiques pour les vulnérabilités NAS à sévérité élevée
Zyxel a publié des correctifs de sécurité critiques pour résoudre trois vulnérabilités à sévérité élevée affectant ses appareils NAS326 et NAS542. Ces vulnérabilités, évaluées à 9,8 sur 10 en termes de sévérité, comprennent un compte de backdoor, une faille d'injection de code Python et une vulnérabilité d'exécution de code à distance. Bien qu'elles aient atteint leur statut de fin de vie en décembre 2023, Zyxel a déployé des correctifs pour les clients bénéficiant de garanties étendues. Le chercheur en sécurité Timothy Hjort d'Outpost24 a découvert ces vulnérabilités et a démontré leur exploitation dans une preuve de concept. Bien qu'aucune exploitation de ces vulnérabilités dans la nature n'ait été signalée, l'existence d'une méthode exploitable a suscité de vives inquiétudes.
Principaux points à retenir
- Zyxel a corrigé trois failles à sévérité élevée dans les appareils NAS, identifiées comme CVE-2024-29972, CVE-2024-29973 et CVE-2024-29974.
- Les vulnérabilités comprenaient un compte de backdoor, une injection de code Python et une exécution de code à distance, toutes notées 9,8/10 en termes de sévérité.
- Malgré leur fin de vie en 2023, Zyxel a fourni des correctifs pour les appareils bénéficiant de garanties étendues.
- En outre, deux vulnérabilités modérées, CVE-2024-29975 et CVE-2024-29976, ont été traitées, impliquant une élévation de privilèges.
- Le chercheur en sécurité Timothy Hjort a découvert les failles et fourni une preuve de concept pour l'exploitation.
Analyse
L'approche proactive de Zyxel pour corriger les vulnérabilités à sévérité élevée de ses appareils NAS, malgré leur statut de fin de vie, souligne l'importance cruciale de la cybersécurité, même pour les produits obsolètes. Les vulnérabilités identifiées, en particulier le compte de backdoor et l'exécution de code à distance, présentent des risques substantiels pour les utilisateurs bénéficiant de garanties étendues, pouvant potentiellement entraîner des violations de données et des compromissions de systèmes. Bien que l'initiative de Zyxel pour sécuriser ces appareils soit louable, elle souligne les défis permanents pour maintenir la sécurité des matériels obsolètes. La découverte par Timothy Hjort et la démonstration de l'exploitabilité soulèvent des préoccupations à l'échelle de l'industrie concernant la sécurité des appareils similaires et la nécessité d'un suivi et de mises à jour continues, même après la fin de vie.