CVE-2024-42057

Injection de Commandes dans les Pare-feux Zyxel

Une vulnérabilité critique, identifiée comme CVE-2024-42057, a été découverte dans la fonctionnalité VPN IPSec des pare-feux Zyxel. Cette faille permet à un attaquant non authentifié d’exécuter des commandes système sur un appareil vulnérable.

Points Clés :

• Nature de la Vulnérabilité: Injection de commande.
• Composant Affecté: Fonctionnalité VPN IPSec.
• Attaquant: Non authentifié.
• Méthode d’Exploitation: Envoi d’un nom d’utilisateur spécialement conçu.

Vulnérabilités :

• CVE-2024-42057: Permet l’exécution de commandes OS via un nom d’utilisateur malveillant dans le contexte de l’authentification IPSec.

Appareils Affectés :

• Série Zyxel ATP (firmware V4.32 à V5.38)
• Série USG FLEX (firmware V4.50 à V5.38)
• Série USG FLEX 50(W) (firmware V4.16 à V5.38)
• Série USG20(W)-VPN (firmware V4.16 à V5.38)

Conditions d’Exploitation :

• Le périphérique doit être configuré en mode d’authentification User-Based-PSK.
• Un utilisateur valide avec un nom d’utilisateur de plus de 28 caractères doit exister sur le périphérique.

Recommandations :

• Mise à jour du firmware : Les utilisateurs des appareils concernés doivent impérativement mettre à jour leur firmware vers la version V5.39 ou une version ultérieure pour corriger cette vulnérabilité.

Source