刚刚，合勤科技发布NAS新固件，修复严重的RCE漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

今天，网络设备厂商合勤科技 (Zyxel) 提醒客户称，其NAS产品的三个机型受一个严重的远程代码执行漏洞影响。

该漏洞的编号为CVE-2022-34747，CVSS v3评分为9.8，是一个“严重”级别的漏洞，不过披露的详情不是很多。

合勤科技发布安全公告表示，“合勤科技NAS产品中的某个特定二进制中存在一个格式字符串漏洞，可导致攻击者通过构造的UDP数据包实现越权远程代码执行。”

安全研究员 Shaposhnikov Ilya 在2022年6月发现了该漏洞，合勤科技在接下来的几个月内陆续发布了对受影响机型的安全更新。

受影响NAS设备

受影响的NAS设备包括NAS326、NAS540和NAS542，这些机型目前仍然受支持。

易受攻击的固件版本是V5.21(AAZF.11)Co 及更早版本 (NAS542)、V5.21(AATB.8)Co及更早版本 (NAS540)以及V5.21(AATB.8)Co或更早版本 (NAS542)。

合勤科技已经以固件更新的方式为受影响设备发布了安全更新，并提供了下载链接。或者用户也可访问合勤科技的官方下载门户，输入设备机型并下载结果中所列出的最新固件更新。

远程代码执行漏洞可导致多种不同攻击后果，如绕过用户验证要求、提权或任意其它限制前提条件。该漏洞可被滥用于窃取数据、删除数据或在暴露在互联网上的NAS设备上部署勒索软件。

虽然所有场景都具有巨大危害，但勒索软件是最常见的一种情况，因为它是威胁行动者让攻击活动变现的最佳方式。

上周末，QNAP修复了一个已遭 DeadBolt勒索攻击活动利用的0day。2月份，该勒索组织还通过利用某0day攻击ASUSTOR设备。因此，DeadBolt组织完全有能力找到未记录的安全差距，更不用说利用已知漏洞了。

活跃利用NAS设备的其它勒索团伙是Checkmate、eChoraix组织，它们在2022年非常活跃。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

合勤科技修复四个高危漏洞，影响AP、API控制器和防火墙设备

合勤科技称企业防火墙和VPN设备遭复杂攻击

10万+合勤科技防火墙和 VPN 网关被曝秘密后门

台湾合勤多款定制化路由器存在多个漏洞

Zyxel 悄悄修复防火墙产品中的严重RCE漏洞

谷歌和 Zyxel 各修复一个已遭利用的 0day

原文链接

https://www.bleepingcomputer.com/news/security/zyxel-releases-new-nas-firmware-to-fix-critical-rce-vulnerability/

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~