Remote Code Execution Schwachstelle in Zyxel NAS - Updates verfügbar

7. September 2022

Beschreibung

Eine kritische Schwachstelle in Zyxel NAS-Systemen ermöglicht potentiell entfernten, unauthorisierten Angreifer:innen das Ausführen von beliebigem Code.

CVE-Nummer(n): CVE-2022-34747

CVSS Base Score: 9.8

Auswirkungen

Das Ausnützen der Schwachstelle durch senden spezieller UDP-Pakete kann zu einer vollständigen Kompromittierung des Systems führen.

Betroffene Systeme

• NAS326 V5.21(AAZF.11)C0 und älter
• NAS540 V5.21(AATB.8)C0 und älter
• NAS542 V5.21(ABAG.8)C0 und älter

Abhilfe

Einspielen der Updates V5.21(AAZF.12)C0, V5.21(AATB.9)C0 oder V5.21(ABAG.9)C0

Hinweis

Generell empfiehlt Cert.at und cyber[contact], sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

---

Informationsquelle(n):

Zyxel Advisory (Englisch)
https://www.zyxel.com/support/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml

Artikel bei Bleeping Computer (Englisch)
https://www.bleepingcomputer.com/news/security/zyxel-releases-new-nas-firmware-to-fix-critical-rce-vulnerability/

Artikel bei heise.de (Deutsch)
https://www.heise.de/news/Auf-NAS-Systeme-von-Zyxel-koennte-Schadcode-gelangen-7255585.html

Eintrag in der National Vulnerability Database (Englisch)
https://nvd.nist.gov/vuln/detail/CVE-2022-34747