CVE-2024-42057

Zyxel ATP IPSec VPN OS Command Injection sérülékenysége
Angol cím: Zyxel ATP IPSec VPN OS Command Injection vulnerability

Publikálás dátuma: 2024.09.02.
Utolsó módosítás dátuma: 2024.09.03.


Leírás

A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják a tervezett operációs rendszer parancsot, amikor azt a következő komponensnek küldi.

Leírás forrása: CWE-78 Leírás utolsó módosítása: 2024.07.16.


Elemzés leírás

Eredeti nyelven:

A command injection vulnerability in the IPSec VPN feature of Zyxel ATP series firmware versions from V4.32 through V5.38, USG FLEX series firmware versions from V4.50 through V5.38, USG FLEX 50(W) series firmware versions from V4.16 through V5.38, and USG20(W)-VPN series firmware versions from V4.16 through V5.38 could allow an unauthenticated attacker to execute some OS commands on an affected device by sending a crafted username to the vulnerable device. Note that this attack could be successful only if the device was configured in User-Based-PSK authentication mode and a valid user with a long username exceeding 28 characters exists.

Elemzés leírás forrása: CVE-2024-42057 Elemzés leírás utolsó módosítása: 2024.09.03.


Hatás

CVSS3.1 Súlyosság és Metrika

Alap pontszám: 8.1 (Magas)
Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Hatás pontszáma: 5.9
Kihasználhatóság pontszáma: 2.2


Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Magas
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Nincs
Hatókör (S): Nem változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Magas
Rendelkezésre állás Hatása (A): Magas

Következmények

Loss of availability (Elérhetőség elvesztése)
Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)

Hivatkozások

www.zyxel.com

Sérülékeny szoftverek

Zyxel
ATP V4.32-től V5.38 verzióig
USG FLEX V4.50-től V5.38 verzióig
USG FLEX 50(W) V4.16-től V5.38 verzióig
USG20(W)-VPN V4.16-től V5.38 verzióig

Címkék

ZyXEL


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-3928 – Commvault Web Server Unspecified sérülékenysége
CVE-2025-3248 – Langflow Missing Authentication sérülékenysége
CVE-2024-58136 – Yiiframework Yii Improper Protection of Alternate Path sérülékenysége
CVE-2025-34028 – Commvault Command Center Path Traversal sérülékenysége
CVE-2023-44221 – SonicWall SMA100 Appliances OS Command Injection sérülékenysége
CVE-2024-38475 – Apache HTTP Server Improper Escaping of Output sérülékenysége
CVE-2025-24132 – Apple AirPlay sebezhetősége
CVE-2025-31330 – SAP Landscape Transformation sebezhetősége
CVE-2025-27429 – SAP sebezhetősége
Tovább a sérülékenységekhez »