关于Zyxel NAS设备远程代码执行漏洞（CVE-2024-29974）的安全预警

来源：网络信息中心发布时间：2024-06-12浏览次数：16

一、基本情况

合勤科技（ZyXEL）是国际知名的网络宽带系统及解决方案供应商。

二、漏洞描述

Zyxel NAS设备中修复了多个漏洞，目前这些漏洞的技术细节及部分PoC已公开，详情如下：

CVE-2024-29972：Zyxel NAS设备命令注入漏洞

Zyxel NAS326和 NAS542 设备中的CGI 程序remote_help-cgi中存在命令注入漏洞，可能导致未经身份验证的威胁者通过发送恶意设计的 HTTP请求执行某些系统命令。

CVE-2024-29973：Zyxel NAS设备命令注入漏洞

Zyxel NAS326和 NAS542 设备中的setCookie参数中存在命令注入漏洞，可能导致未经身份验证的威胁者发送恶意设计的 HTTP POST 请求执行某些系统命令。

CVE-2024-29974：Zyxel NAS设备远程代码执行漏洞

Zyxel NAS326和 NAS542 设备中的CGI 程序file_upload-cgi中存在远程代码执行漏洞，未经身份验证的威胁者可通过将恶意设计的配置文件上传到易受攻击的设备导致执行任意代码。

CVE-2024-29975：Zyxel NAS设备本地权限提升漏洞

Zyxel NAS326和 NAS542 设备中的SUID可执行二进制文件中存在权限管理不当，可能导致经过身份验证且具有管理员权限的本地威胁者以root用户身份在易受攻击的设备上执行某些系统命令。

CVE-2024-29976：Zyxel NAS设备权限提升信息泄露漏洞

Zyxel NAS326和 NAS542 设备中的show_allsessions命令存在权限管理不当，可能导致经过身份验证的低权限威胁者获取受影响设备上所有经过身份验证的用户（包括管理员）的会话令牌，从而获得设备管理员访问权限。

三、影响范围

NAS326设备版本<= V5.21(AAZF.16)C0

NAS542设备版本<= V5.21(ABAG.13)C0

注：NAS326和NAS54设备目前供应商已停止支持。

四、修复建议

鉴于漏洞的严重性，目前供应商已发布了CVE-2024-29972、CVE-2024-29973 和 CVE-2024-29974的补丁，受影响用户可升级到以下版本：