Zyxel Firewalls – Command Injection in der AP-Verwaltung

Beschreibung

Eine Command-Injection-Schwachstelle in der Access-Point-Verwaltung betrifft Zyxel-Firewalls der Serien ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN und VPN in Firmware 5.00 bis 5.36 Patch 2 sowie die NXC2500- und NXC5500-Firmware. Ein nicht authentifizierter, LAN-basierter Angreifer könnte einige Betriebssystembefehle ausführen, sofern es ihm gelingt, einen berechtigten Administrator zuvor dazu zu bringen, die Angreifer-IP der Liste der verwalteten APs hinzuzufügen. CVSS-Basiswert: 8.0 (Hoch).

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Zyxel

• Zyxel DSL CPE – OS Command Injection KEV CVE-2024-40890
• Zyxel DSL CPE – OS Command Injection KEV CVE-2024-40891
• Zyxel Firewalls Path Traversal KEV CVE-2024-11667
• Zyxel EMG2926 Router – Command Injection KEV CVE-2017-6884
• Zyxel P660HN-T1A Routers Command Injection KEV CVE-2017-18368
• Zyxel NAS-Geräte – Command Injection KEV CVE-2023-27992