Se ha reportado un nuevo aviso de seguridad sobre dos vulnerabilidades que afectan a productos de Zyxel, que permitirían a un atacante no autenticado realizar denegación de servicios (DoS) y ejecución remota de código (RCE) en el sistema afectado.
Las vulnerabilidades reportadas se componen de 2 (dos) de severidad de “Crítica”. Las mismas se detallan a continuación:
- CVE-2023-33009, de severidad “Crítica”, con puntuación asignada de 9.8. Esta vulnerabilidad del tipo buffer overflow se debe a una falla en la función de notificaciones en los firmwares de productos de Zyxel. Esto permitiría a un atacante no autenticado provocar ataques de denegación de servicio (DoS) y potencialmente ejecución remota de código (RCE) en los dispositivos afectados.
- CVE-2023-33010, de severidad “Crítica”, con puntuación asignada de 9.8. Esta vulnerabilidad del tipo buffer overflow se debe a una falla en la función de procesamiento de ID en los firmwares de productos de Zyxel. Esto permitiría a un atacante no autenticado provocar ataques de denegación de servicio (DoS) y potencialmente ejecución remota de código (RCE) en los dispositivos afectados.
Las versiones afectadas son:
- ATP, versión ZLD 4.32 al 5.36 Patch1.
- USG FLEX, versión ZLD 4.50 a 5.36 Patch1.
- USG FLEX50(W) / USG20(W)-VPN, versión ZLD 4.25 a 5.36 Patch1.
- VPN, versión ZLD 4.30 a 5.36 Patch1.
- ZyWALL/USG, versión ZLD 4.25 a 4.73 Patch1.
Recomendamos instalar las actualizaciones correspondientes provistas por el proveedor en el siguiente enlace:
Referencias:
- https://securityonline.info/cve-2023-33009-cve-2023-33010-critical-zyxel-firewall-vulnerabilities/
- https://nvd.nist.gov/vuln/detail/CVE-2023-33009
- https://nvd.nist.gov/vuln/detail/CVE-2023-33010
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-buffer-overflow-vulnerabilities-of-firewalls
- https://www.zyxel.com/global/en/support/download