CVE-2024-29972

KrytyczneCVSS 9.8

Opublikowano: 04/06/2024(UTC)Zaktualizowano: 03/11/2026(UTC)Przetłumaczono: 03/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

90.35%

Percentyl 100 - wyżej niż 100% wszystkich znanych CVE

Streszczenie

Podatność na wstrzyknięcie poleceń w programie CGI "remote_help-cgi" w firmware Zyxel NAS326 (wersje przed V5.21(AAZF.17)C0) i NAS542 (wersje przed V5.21(ABAG.14)C0) może pozwolić nieuwierzytelnionemu atakującemu na wykonanie poleceń systemu operacyjnego poprzez wysłanie spreparowanego żądania HTTP POST.

Ocena ryzyka

Nieuwierzytelniony atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu NAS, co może prowadzić do pełnego przejęcia urządzenia i dostępu do przechowywanych danych.

Rekomendacja

Zaktualizować firmware Zyxel NAS326 do wersji V5.21(AAZF.17)C0 lub nowszej oraz NAS542 do wersji V5.21(ABAG.14)C0 lub nowszej.

Inne podatności w Zyxel NAS

CVE-2023-27992KrytyczneAktywnie exploitowane
Podatność wstrzyknięcia poleceń przed uwierzytelnieniem w Zyxel NAS326 (firmware przed V5.21(AAZF.14)C0), NAS540 (przed V5.21(AATB.11)C0) i NAS542 (przed V5.21(ABAG.11)C0). Nieuwierzytelniony atakujący może zdalnie wykonać polecenia systemu operacyjnego poprzez wysłanie spreparowanego żądania HTTP.

Oryginalny opis (angielski, źródło NVD)

** UNSUPPORTED WHEN ASSIGNED ** The command injection vulnerability in the CGI program "remote_help-cgi" in Zyxel NAS326 firmware versions before V5.21(AAZF.17)C0 and NAS542 firmware versions before V5.21(ABAG.14)C0 could allow an unauthenticated attacker to execute some operating system (OS) commands by sending a crafted HTTP POST request.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS