Zyxel NAS یک دستگاه ذخیره‌سازی متصل به شبکه (NAS) است که توسط شرکت ارتباطات Zyxel تولید شده است. یک دستگاه NAS اساسأ یک سیستم ذخیره‌سازی متمرکز است که به یک شبکه متصل می‌شود و به چندین کاربر و دستگاه اجازه می‌دهد تا به فایل‌ها دسترسی داشته باشند و به اشتراک بگذارند. یک آسیب‌پذیری با شناسه CVE-2023-5372 با شدت بالا (7.2) در Zyxel NAS326 و Zyxel NAS542 کشف شده که منجر به تزریق فرمان پس از احراز هویت (POCI) در سیستم عامل Zyxel NAS326 (V5.21(AAZF.15)C0) و سیستم عاملNAS542 (V5.21(ABAG.12)C0) خواهد شد. اگر مهاجم احرازهویت شده بتواند با سطح دسترسی مدیر وارد سیستم‌عامل دستگاه شود، می‌تواند با افزودن یک پارامتر خاص به URL در رابط مدیریت وب، دستورات خاصی را روی دستگاه اجرا کند.
بر اساس بردار حمله این آسیب‌پذیری(CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) بهره‌برداری از طریق شبکه مجاور امکان‌پذیر نیست (AV:N)، نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست (AC:L)، مهاجم برای انجام حمله نیاز به حساب‌کاربری با سطح دسترسی بالا دارد (PR:H)، به تعامل با کاربر نیز نیاز نیست (UI:N)، بهره‌برداری از نقص امنیتی مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U) و با بهره‌برداری از این آسیب‌پذیری، هر سه ضلع امنیت با شدت بالایی تحت تأثیر قرار می‌گیرند.
محصولات تحت تأثیر
• این آسیب‌پذیری برای NAS326 نسخه V5.21(AAZF.15)C0 و نسخه‌های قدیمی‌تر را تحت تأثیر قرارمی‌دهد.
• این آسیب‌پذیری برای NAS542 نسخه V5.21(ABAG.12)C0 و نسخه‌های قدیمی‌تر را تحت تأثیر قرارمی‌دهد.
توصیه‌های امنیتی
• NAS326 به نسخه V5.21(AAZF.16)C0 یا بالاتر به‌روزرسانی کنید.
• NAS542 به نسخه V5.21(ABAG.12)C0 یا بالاتر به‌روزرسانی کنید.
منبع خبر:
- 31