Zyxel korjasi kriittisen haavoittuvuuden verkkolevyasemissaan (NAS)
Haavoittuvuus9/2023CVSS 9.8CVE-2023-27992 (Ulkoinen linkki)
Verkkolaitevalmistaja Zyxel julkaisi korjaavat päivitykset kriittisiin haavoihin verkkolevyasemissa (NAS). Kyberturvallisuuskeskus suosittelee omistajia päivittämään kyseiset laitteet välittömästi.
Haavoittuvuus koskee Zyxel-verkkolevyasemien (NAS) omistajia. Kyseisiä tuotteita käyttävät esimerkiksi organisaatiot tai yksityishenkilöt, jotka tarvitsevat tilaa vaikkapa kuvausharrastuksen vuoksi.
Haavoittuvuus mahdollistaa laitteella mielivaltaisten komentojen ja koodin suorittamisen ilman käyttäjätunnusta tai käyttäjän toimia. Haavoittuvuuteen on saatavilla korjauspäivitys ja se on syytä asentaa välittömästi. Kyberturvallisuuskeskus muistuttaa, että kaikkia laitteita ei ole tarve kytkeä internetiin. Esimerkiksi rikolliset etsivät verkosta haavoittuvia laitteita ja voivat käyttää niitä erilaisiin haitallisiin tarkoituksiin.
Zyxel kiittää tiedotteessaan (Ulkoinen linkki) Kyberturvallisuuskeskuksen (NCSC-FI) apua haavoittuvuuden löytämisessä. Kyberturvallisuuskeskuksen asiantuntijat löysivät haavoittuvuuden ja se ilmoitettiin 24.4.2023 Zyxelille korjattavaksi.
Kohde
- Verkon aktiivilaitteet
Hyökkäystapa
- Etäkäyttö
- Ilman käyttäjän toimia
- Ilman kirjautumista
Vaikutukset
- Palvelunestohyökkäys
- Komentojen mielivaltainen suorittaminen
- Suojauksen ohittaminen
- Käyttövaltuuksien laajentaminen
- Tietojen muokkaaminen
- Luottamuksellisen tiedon hankkiminen
Hyväksikäyttömenetelmä tiedossa
- Rikollisessa käytössä
Ratkaisu
- Korjaava ohjelmistopäivitys
Haavoittuvuuden kohde
Haavoittuvat tuetut laitteet ja laiteohjelmistot sekä korjaavat versiot:
NAS326 V5.21(AAZF.13)C0 ja aiemmat korjaava versio: V5.21(AAZF.14)C0
NAS540 V5.21(AATB.10)C0 ja aiemmat korjaava versio: V5.21(AATB.11)C0
NAS542 V5.21(ABAG.10)C0 ja aiemmat korjaava versio: V5.21(ABAG.11)C0
Mistä on kysymys?
Laiteohjelmistosta on saatavilla päivitetty versio, joka on syytä päivittää heti.
Mitä voin tehdä?
Huom. Zyxel on listannut tiedotteessaan vain tällä hetkellä tuetut mallit. Haavoittuvuus voi olla myös vanhemmissa laitteissa, joiden tuki on jo päättynyt (ns. EoL). Tällaiset laitteet eivät välttämättä saa päivitystä, jolloin laite on haavoittuva. Vanhentuneet tuotteet on syytä pitää pois internetistä ja miettiä laitteiden korvaamista uudella.
Valmistajan tiedote: https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products (Ulkoinen linkki)
Lisätty tietoa aiheesta: älä kytke kaikkia laitteita internetiin