漏洞更新 - 合勤科技釋出NAS產品的漏洞更新
合勤科技釋出NAS產品的漏洞更新
一、摘要
Zyxel於近期已釋出NAS產品的漏洞更新，其中三個漏洞可能導致身份驗證繞過和命令注入，CVSS評分高達9.8。
二、存在風險
Zyxel於近期已釋出NAS產品的漏洞更新，其中三個漏洞（CVE-2023-35138、CVE-2023-4473、CVE-2023-4474）可能導致身份驗證繞過和命令注入，CVSS評分高達9.8，其影響系統或版本如下：
- NAS326 V5.21(AAZF.14)C0(含)以前版本
- NAS542 V5.21(ABAG.11)C0(含)以前版本
漏洞說明：
- CVE-2023-35138：命令注入漏洞，可能允許未經身份驗證的攻擊者透過發送精心設計的 HTTP POST 請求來執行某些作業系統命令。
- CVE-2023-4473：Web 伺服器中的命令注入漏洞，可能允許未經身份驗證的攻擊者向易受攻擊的裝置發送精心設計的 URL 來執行某些作業系統命令。
- CVE-2023-4474：特殊元素漏洞的不當中和，可能允許未經身份驗證的攻擊者向易受攻擊的裝置發送精心設計的 URL 來執行某些作業系統命令。
- CVE-2023-35137：驗證模組中存在不適當的驗證漏洞，可能允許未經身份驗證的攻擊者向易受攻擊的裝置發送精心設計的 URL 來獲取系統資訊。
- CVE-2023-37927：特殊元素漏洞的不當中和，可能允許已取得授權的攻擊者向易受攻擊的裝置發送精心設計的 URL 來執行某些作業系統命令。
- CVE-2023-37928：命令注入漏洞，可能允許已取得授權的攻擊者向易受攻擊的裝置發送精心設計的 URL 來執行某些作業系統命令。
建議改善措施：
- 請將NAS326更新至V5.21(AAZF.15)C0或更高版本。
- 請將NAS542更新至V5.21(ABAG.12)C0或更高版本。
