BDU:2025-00255 (CVE-2024-12398) — уязвимость веб-интерфейса управления микропрограммного обеспечения сетевых устройств Zyxel

По данным БДУ ФСТЭК России, по состоянию на 19.01.2025.

Уязвимость веб-интерфейса управления микропрограммного обеспечения сетевых устройств Zyxel связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии до уровня администратора и загружать конфигурационные файлы

Кого касается и что делать

• Уязвимое ПО: ZYXEL NWA1123ACv3 (Zyxel Communications) — версии до 6.70(ABVT.4) включительно; ZYXEL NWA50AX (Zyxel Communications) — версии до 7.00(ABYW.2) включительно; ZYXEL NWA50AX-PRO (Zyxel Communications) — версии до 7.00(ACGE.2) включительно; и ещё 20 позиций
• Что делать: уязвимость устранена производителем — применить исправления: www.zyxel.com

Сведения об уязвимости

Уязвимое ПО

• ZYXEL NWA1123ACv3 (Zyxel Communications) — до 6.70(ABVT.4) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA50AX (Zyxel Communications) — до 7.00(ABYW.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA50AX-PRO (Zyxel Communications) — до 7.00(ACGE.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA55AXE (Zyxel Communications) — до 7.00(ABZL.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA90AX (Zyxel Communications) — до 7.00(ACCV.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA90AX-PRO (Zyxel Communications) — до 7.00(ACGF.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA110AX (Zyxel Communications) — до 7.00(ABTG.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA130BE (Zyxel Communications) — до 7.00(ACIL.3) включительно · сетевое средство, ПО сетевого программно-аппаратного средства, микропрограммный код
• ZYXEL NWA210AX (Zyxel Communications) — до 7.00(ABTD.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL NWA220AX-6E (Zyxel Communications) — до 7.00(ACCO.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAC500 (Zyxel Communications) — до 6.70(ABVS.5) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAC500H (Zyxel Communications) — до 6.70(ABWA.5) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX300H (Zyxel Communications) — до 7.00(ACHF.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX510D (Zyxel Communications) — до 7.00(ABTF.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX610D (Zyxel Communications) — до 7.00(ABTE.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX620D-6E (Zyxel Communications) — до 7.00(ACCN.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX630S (Zyxel Communications) — до 7.00(ABZD.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX640S-6E (Zyxel Communications) — до 7.00(ACCM.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX650S (Zyxel Communications) — до 7.00(ABRM.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WAX655E (Zyxel Communications) — до 7.00(ACDO.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• ZYXEL WBE530 (Zyxel Communications) — до 7.00(ACLE.3) включительно · сетевое средство, ПО сетевого программно-аппаратного средства, микропрограммный код
• ZYXEL WBE660S (Zyxel Communications) — до 6.70(ACGG.2) включительно · сетевое средство, ПО сетевого программно-аппаратного средства
• USG LITE 60AX (Zyxel Communications) — до 2.00(ACIP.4) включительно · сетевое средство, ПО сетевого программно-аппаратного средства, микропрограммный код

Возможные меры по устранению уязвимости

Обновление. Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

• отключение/удаление неиспользуемых учётных записей пользователей
• минимизация пользовательских привилегий
• использование средств межсетевого экранирования уровня веб-приложений для ограничения удалённого доступа к веб-интерфейсу управления устройством
• использование виртуальных частных сетей для организации удаленного доступа (VPN).
  Использование рекомендаций производителя:
  www.zyxel.com/global/en/support/security-advisories/zyxel…

Источники

• nvd.nist.gov/vuln/detail/CVE-2024-12398
• vuldb.com/?id.291399
• www.zyxel.com/global/en/support/security-advisories/zyxel…