【漏洞通告】Zyxel NAS未授权远程代码执行漏洞CVE-2024-29974

漏洞名称：

Zyxel NAS未授权远程代码执行漏洞(CVE-2024-29974)

组件名称：

Zyxel-NAS

影响范围：

Zyxel NAS326 < V5.21(AAZF.17)C0
Zyxel NAS542 < V5.21(ABAG.14)C0

漏洞类型：

代码注入

利用条件：

1、用户认证：不需要用户认证

2、前置条件：默认配置

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易，无需授权能造成远程代码执行。

<综合评定威胁等级>：高危，能造成远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

Zyxel-NAS 是指由 Zyxel Communications Corporation（合勤科技股份有限公司）开发和生产的网络附加存储（Network Attached Storage，简称 NAS）设备。NAS 是一种专门用于存储和共享文件的设备，它通过网络连接到计算机、服务器或其他设备，提供集中式的文件存储和访问功能。

漏洞简介

2024年6月6日，深瞳漏洞实验室监测到一则Zyxel-NAS组件存在代码注入漏洞的信息，漏洞编号：CVE-2024-29974，漏洞威胁等级：严重。

V5.21(AAZF.17)C0之前的Zyxel NAS326固件版本和V5.21(ABAG.14)C0之前的NAS542固件版本中的CGI程序“file_upload-cgi"中存在远程代码执行漏洞，允许未经身份验证的攻击者上传恶意文件，执行任意代码导致服务器失陷。

影响范围

目前受影响的Zyxel-NAS版本：

Zyxel NAS326 < V5.21(AAZF.17)C0
Zyxel NAS542 < V5.21(ABAG.14)C0

解决方案

官方修复建议

供应商已发布了漏洞补丁，受影响客户可以将Zyxel NAS升级到以下版本：
NAS326设备：升级到V5.21(AAZF.17)C0
NAS542设备：升级到V5.21(ABAG.14)C0

下载链接：
https://www.zyxel.com/global/en/support/download

深信服解决方案

风险资产发现