30. maí 2023

Alvarlegir veikleikar í Zyxel Networks og D-Link

Tilkynnt var um nokkra alvarlega veikleika í eldveggjum og VPN lausnum hjá Zyxel Networks og D-View 8 hjá D-Link. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikinn hefur verið lagfærður.

Alvarlegir veikleikar (e. critical)

Zyxel eldveggir og VPN

Veikleikarnir CVE-2023-33009 með CVSSv3 skor uppá 9.8 og CVE-2023-33010 með CVSSv3 skor uppá 9.8 gera ógnaraðila kleift að valda álagsárás (e. DoS) og jafnvel keyrslu á kóða á veikum búnaði. Misnotkunin felur í sér að misnota yfirflæði biðminnis (e. buffer overflow) í virkni fyrir tilkynningar og vinnslu á auðkenni (e. ID) í eldveggjum [1,2].

Veikleikinn CVE-2023-28771 með CVSSv3 skor uppá 9.8 gerir ógnaraðila kleift að senda sérhannaða pakka á veika búnaðinn til þess að keyra skipanir á stýrikerfi [3]. Þetta hefur ekki áhrif á USG FLEX50(W) / USG20(W)-VPN. Um er að ræða eldri veikleika þar sem proof of concept er til og nýlega talið að sé verið að misnota [4,5].

D-Link D-View 8

Veikleikinn CVE-2023-32165 með CVSSv3 skor uppá 9.8 gerir ógnaraðila kleift að keyra kóða með kerfisréttindi í veikum búnaði vegna galla í TftpReceiveFileHandler [6,7].

Veikleikinn CVE-2023-32169 með CVSSv3 skor uppá 9.8 gerir ógnaraðila kleift að sneiða fram hjá auðkenningu með því að misnota harðkóðaðan dulmálslykil [6,8].

Uppfærslan lagfærir fleiri veikleika sem hægt er að lesa nánar um hjá D-Link. Vert er að nefna að uppfærslan er beta/hotfix útgáfa og er ennþá að undirfara prófanir hjá D-Link [6].