Remote Code Execution Schwachstelle in Zyxel NAS - Updates verfügbar

7. September 2022

Beschreibung

Eine kritische Schwachstelle in Zyxel NAS-Systemen ermöglicht potentiell entfernten, unauthorisierten Angreifer:innen das Ausführen von beliebigem Code.

CVE-Nummer(n): CVE-2022-34747

CVSS Base Score: 9.8

Auswirkungen

Das Ausnützen der Schwachstelle durch senden spezieller UDP-Pakete kann zu einer vollständigen Kompromittierung des Systems führen.

Betroffene Systeme

• NAS326 V5.21(AAZF.11)C0 und älter
• NAS540 V5.21(AATB.8)C0 und älter
• NAS542 V5.21(ABAG.8)C0 und älter

Abhilfe

Einspielen der Updates V5.21(AAZF.12)C0, V5.21(AATB.9)C0 oder V5.21(ABAG.9)C0

Hinweis

Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

Informationsquelle(n):

Zyxel Advisory (Englisch)
https://www.zyxel.com/support/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml

Artikel bei Bleeping Computer (Englisch)
https://www.bleepingcomputer.com/news/security/zyxel-releases-new-nas-firmware-to-fix-critical-rce-vulnerability/

Artikel bei heise.de (Deutsch)
https://www.heise.de/news/Auf-NAS-Systeme-von-Zyxel-koennte-Schadcode-gelangen-7255585.html

Eintrag in der National Vulnerability Database (Englisch)
https://nvd.nist.gov/vuln/detail/CVE-2022-34747