« Patches d’urgence publiées pour des vulnérabilités critiques affectant les boîtes NAS Zyxel en fin de vie. »

Zyxel vient de publier des correctifs de sécurité pour deux de ses anciens dispositifs de stockage en réseau (NAS) après qu’un stagiaire d’un fournisseur de sécurité a signalé des failles critiques il y a plusieurs mois. Les modèles NAS326 (fonctionnant sous la version V5.21(AAZF.16)C0 et antérieure) et NAS542 (fonctionnant sous les versions V5.21(ABAG.13)C0 et antérieure) sont affectés. Ils ont atteint tous les deux la fin de leur cycle de vie (EOL) le 31 décembre 2023 et sont désormais vulnérables à plusieurs vulnérabilités critiques pouvant entraîner l’exécution de code à distance (RCE) et d’autres problèmes. Timothy Hjort, un stagiaire en recherche de vulnérabilités chez Outpost24, a signalé cinq vulnérabilités au vendeur basé à Taïwan en mars. Hjort et Zyxel ont respectivement publié les détails des vulnérabilités et les correctifs mardi via une divulgation coordonnée. L’article de Hjort incluait également un code de preuve de concept qui informerait les éventuels attaquants sur la manière d’exploiter les vulnérabilités, ce qui souligne l’importance d’appliquer les correctifs dès maintenant. « En raison de la gravité critique des vulnérabilités CVE-2024-29972, CVE-2024-29973 et CVE-2024-29974, Zyxel a mis à disposition des correctifs pour les clients bénéficiant d’un support étendu… malgré le fait que les produits aient déjà atteint la fin du support contre les vulnérabilités », a déclaré le vendeur dans un avis.