PT-2020-17137
CVE-2020-29299
·
Publicado
2020-12-27
·
Atualizado
2021-01-05
Descrição por
CVSS 2.0
9.0
AltaMétricasAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do Zyxel VPN On-premise anteriores ao ZLD V4.39 semana 38
Versões do Zyxel VPN Orchestrator anteriores ao SD-OS V10.03 semana 32
Versões do Zyxel USG anteriores ao ZLD V4.39 semana 38
Versões do Zyxel USG FLEX anteriores ao ZLD V4.55 semana 38
Versões do Zyxel ATP anteriores ao ZLD V4.55 semana 38
Versões do Zyxel NSG anteriores à 1.33 patch 4
Descrição
Certos produtos Zyxel permitem a injeção de comandos por um administrador por meio de uma string de entrada para
chg exp pwd durante uma ação de alteração de senha.Recomendações
Para versões do Zyxel VPN On-premise anteriores ao ZLD V4.39 semana 38, atualize para o ZLD V4.39 semana 38 ou posterior.
Para versões do Zyxel VPN Orchestrator anteriores ao SD-OS V10.03 semana 32, atualize para o SD-OS V10.03 semana 32 ou posterior.
Para versões do Zyxel USG anteriores ao ZLD V4.39 semana 38, atualize para o ZLD V4.39 semana 38 ou posterior.
Para versões do Zyxel USG FLEX anteriores ao ZLD V4.55 semana 38, atualize para o ZLD V4.55 semana 38 ou posterior.
Para versões do Zyxel ATP anteriores ao ZLD V4.55 semana 38, atualize para o ZLD V4.55 semana 38 ou posterior.
Para versões do Zyxel NSG anteriores ao patch 4 da versão 1.33, atualize para o patch 4 da versão 1.33 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à função
chg exp pwd até que um patch esteja disponível.Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾