Zyxel закрыла критические уязвимости в устаревших NAS326 и NAS542

Zyxel закрыла критические уязвимости в устаревших NAS326 и NAS542

Zyxel закрыла критические уязвимости в устаревших NAS326 и NAS542

Компания Zyxel Networks выпустила обновления прошивки для отслуживших свое NAS-устройств, в которых объявились три критические уязвимости. Патчи доступны корпоративным пользователям в рамках расширенной поддержки.

Угроза эксплойта актуальна для NAS326 с прошивкой версий 5.21(AAZF.16)C0 и ниже, а также NAS542 с прошивкой v5.21(ABAG.13)C0 и ниже. В обоих случаях гарантийный срок службы (с латанием дыр) истек 31 декабря 2023 года.

Краткая характеристика уязвимостей, согласно бюллетеню вендора:

  • CVE-2024-29972 — возможность внедрения команд при выполнении сценария remote_help-cgi; эксплойт не требует аутентификации и проводится с помощью вредоносного запроса HTTP POST;
  • CVE-2024-29973 — возможность инъекции команд с использованием параметра setCookie; эксплойт не требует аутентификации и осуществляется подачей запроса HTTP POST;
  • CVE-2024-29974 — возможность удаленного исполнения стороннего кода при отработке скрипта file_upload-cgi; эксплойт не требует аутентификации и проводится через загрузку специально созданного конфигурационного файла.

Исследователи из шведской ИБ-компании Outpost24 обнаружили в NAS-устройствах указанных моделей еще две уязвимости. Обе позволяют повысить привилегии в системе и, по мнению Zyxel, менее опасны, поэтому патчить их не стали.

Проблема CVE-2024-29975 возникла из-за небрежно написанного SUID-сценария. В результате возникла возможность локально повысить админ-привилегии до root.

Уязвимость CVE-2024-29976 проявляется при выполнении команды show_allsessions и позволяет после аутентификации получить сессионные куки совершившего вход админа.

В прошлом году Zyxel тоже латала NAS326 и NAS542. Продукты на тот момент не были сняты с довольствия, и в них в плановом порядке закрыли еще одну возможность инъекции команд — CVE-2023-27992.

В России разработали отдельные ПДД для роботов-доставщиков

Российские ведомства согласовали требования к передвижению роботов-доставщиков по городам. Для роверов определят разрешённую скорость, правила взаимодействия с пешеходами, порядок идентификации и ответственность операторов, сообщил министр транспорта Андрей Никитин.

Проект постановления подготовили Минэкономразвития совместно с Минтрансом и МВД.

Новые требования будут проверять в рамках экспериментального правового режима, который планируют запустить на три года в 35 регионах России.

Документ должен определить, где роботы смогут ездить, а куда им путь будет закрыт. Конкретные ограничения и запретные зоны появятся в итоговой версии постановления. Главный принцип сформулирован так: ровер не должен мешать людям и создавать угрозу на тротуаре.

Отдельно власти пропишут правила идентификации устройств. Вероятно, это позволит установить конкретного оператора, если робот перекроет проход, столкнётся с пешеходом или решит припарковаться посреди дороги вместе с чьим-то ужином.

Экспериментальный режим нужен, чтобы проверить требования в реальной городской среде и скорректировать их до постоянного закрепления. За три года ведомства смогут оценить, как роботы ведут себя среди пешеходов, где возникают конфликты и какие ограничения действительно работают.

RSS: Новости на портале Anti-Malware.ru