کشف چندین آسیب‌پذیری بحرانی در دستگاه‌های NAS

سیستم‌های Zyxel NAS به منظور ذخیره‌سازی داده‌ها در یک مکان متمرکز در شبکه استفاده می‌شود. این سیستم‌ها که برای حجم بالای داده طراحی شده‌اند، عملکردهایی مانند پشتیبان‌گیری کارآمد از داده‌ها، پخش رسانه‌ای یکپارچه و گزینه‌های اشتراک‌گذاری قابل تنظیم را ارائه می‌کنند.
Zyxel چندین نقص امنیتی را مورد بررسی قرار داده است که سه مورد از آنها بسیار جدی است. این آسیب‌پذیری‌ها به طور بالقوه می‌توانند یک مهاجم غیرمجاز را قادر سازند تا دستورات سیستم‌عامل را بر روی دستگاه‌هایNAS  (ذخیره‌سازی متصل به شبکه) آسیب‌پذیر، اجرا کند.
این آسیب‌پذیری‌ها به شرح زیر است:

•   آسیب‌پذیری با شناسه CVE-2023-35138 و شدت بحرانی (9.8): یک آسیب‌پذیری تزریق دستور (command injection) در دستگاه‌های Zyxel NAS است که در تابع «show_zysync_server_contents» وجود دارد و به مهاجمان تأیید نشده اجازه می‌دهد تا دستورات سیستم‌عامل دلخواه را با بهره‌برداری از یک درخواست HTTP POST جعلی، اجرا کنند.
•  آسیب‌پذیری با شناسه CVE-2023-35137 و شدت بالا (7.5): در این آسیب‌پذیری، دستگاه‌های Zyxel NAS تحت تأثیر یک نقص احراز هویت نامناسب در ماژول احراز هویت قرار دارند. این نقص به مهاجمان احراز هویت نشده این امکان را می‌دهد تا با بهره‌برداری از یک URL جعلی خاص، اطلاعات سیستم را به دست آورند.
•  آسیب‌پذیری با شناسه CVE-2023-37927 و شدت بالا (8.8): یک آسیب‌پذیری امنیتی در برنامه CGI دستگاه‌های Zyxel NAS، که به مهاجمان احراز هویت شده اجازه می‌دهد تا دستورات سیستم‌عامل دلخواه را با استفاده از یک URL ساختگی اجرا کنند.
•  آسیب‌پذیری با شناسه CVE-2023-37928 و شدت بالا (8.8): یک آسیب‌پذیری تزریق دستور (command injection) پس از احراز هویت در سرور WSGI دستگاه‌های Zyxel NAS است. مهاجمان احراز هویت شده می‌توانند با ایجاد یک URL مخرب از این نقص امنیتی بهره‌برداری کنند و آنها را قادر می‌سازد تا دستورات سیستم‌عامل دلخواه را اجرا کنند.
•  آسیب‌پذیری با شناسه CVE-2023-4473 و شدت بحرانی (9.8): یک نقص امنیتی مهم در وب سرور دستگاه‌های Zyxel NAS است که به مهاجمان تأیید نشده اجازه می‌دهد تا دستورات دلخواه را با بهره‌برداری از تزریق فرمان (command injection) از طریق یک URL جعلی اجرا کنند.
•  آسیب‌پذیری با شناسه CVE-2023-4474 و شدت بحرانی (9.8): یک آسیب‌پذیری در سرور WSGI دستگاه‌های Zyxel NAS است که به مهاجمان احراز هویت نشده اجازه می‌دهد تا دستورات سیستم‌عامل را با بهره‌برداری از یک URL ساختگی اجرا کنند.

محصولات تحت تأثیر
طبق بررسی‌های انجام شده دستگاه‌های NAS326 از نسخه 5.21(AAZF.14)C0 و قبل‌تر و همچنین دستگاه‌های NAS542 با نسخه 5.21(ABAG.11)C0 و قبل‌تر تحت تأثیر آسیب‌پذیری‌های فوق قرار دارند.

توصیه‌های امنیتی
به کاربران توصیه می‌شود در اسرع وقت نسبت به به‌روزرسانی سیستم‌های خود مطابق جدول زیر اقدام کنند:
 

منبع خبر:
 

[1] https://www.bleepingcomputer.com/news/security/zyxel-warns-of-multiple-critical-vulnerabilities-in-…