CVE-2024-42057

Vulnérabilité dans les VPN Zyxel : Risque d’injection de commandes

Une faille de sécurité, référencée CVE-2024-42057, a été identifiée dans la fonction VPN IPSec des pare-feux Zyxel. Elle affecte spécifiquement les séries ATP, USG FLEX, USG FLEX 50(W) et USG20(W)-VPN, avec des versions de firmware comprises entre V4.32 et V5.38 (selon la série).

Cette vulnérabilité permet à un attaquant non authentifié de prendre le contrôle du système en exécutant des commandes sur l’appareil ciblé. L’exploitation est possible via l’envoi d’un nom d’utilisateur spécialement conçu, à condition que le dispositif soit configuré en mode d’authentification “User-Based-PSK” et qu’un utilisateur valide avec un nom de plus de 28 caractères existe.

Points clés :

• Type de vulnérabilité : Injection de commandes (Command Injection).
• Composant affecté : Fonctionnalité VPN IPSec.
• Impact : Exécution de commandes système à distance par un attaquant non authentifié.

Vulnérabilités :

• CVE-2024-42057

Recommandations :

• Les utilisateurs des séries Zyxel ATP, USG FLEX, USG FLEX 50(W) et USG20(W)-VPN doivent impérativement mettre à jour leur firmware vers la version V5.39 ou une version ultérieure pour corriger cette faille.

Source