CVE-2024-42057
Mis à jour :
Injection de commandes dans les VPN IPSec de Zyxel
Une vulnérabilité critique de type injection de commandes, identifiée sous la référence CVE-2024-42057, a été découverte dans la fonctionnalité VPN IPSec des pare-feux Zyxel.
Points Clés :
- Nature de la faille : Injection de commandes (Command Injection).
- Produits affectés : Pare-feux Zyxel des séries ATP, USG FLEX (y compris USG FLEX 50(W)) et USG20(W)-VPN.
- Versions impactées : Firmware V4.32 à V5.38 pour ATP, V4.50 à V5.38 pour USG FLEX, V4.16 à V5.38 pour USG FLEX 50(W) et USG20(W)-VPN.
Vulnérabilités :
- CVE-2024-42057 : Permet à un attaquant non authentifié d’exécuter des commandes système sur un appareil vulnérable en envoyant un nom d’utilisateur spécialement conçu.
Conditions d’exploitation :
- Le dispositif doit être configuré en mode d’authentification “User-Based-PSK”.
- Un utilisateur valide dont le nom d’utilisateur dépasse 28 caractères doit exister sur l’appareil.
Recommandations :
- Il est impératif de mettre à jour le firmware des appareils Zyxel affectés vers la version V5.39 ou une version ultérieure afin de corriger cette faille.