보안 권고문

Zyxel 제품군 보안 업데이트 권고

등록일: 2024년 9월 4일

개요

Zyxel 제품군에서 발생하는 취약점을 해결하는 업데이트를 발표하였습니다. 해당하는 버전의 사용자는 최신 버전으로 업데이트하시기 바랍니다.

대상 제품

CVE-2024-7261

AP NWA50AX 버전: ~ 7.00(ABYW.1) (포함)
AP NWA50AX PRO 버전: ~ 7.00(ACGE.1) (포함)
AP NWA55AXE 버전: ~ 7.00(ABZL.1) (포함)
AP NWA90AX 버전: ~ 7.00(ACCV.1) (포함)
AP NWA90AX PRO 버전: ~ 7.00(ACGF.1) (포함)
AP NWA110AX 버전: ~ 7.00(ABTG.1) (포함)
AP NWA130BE 버전: ~ 7.00(ACIL.1) (포함)
AP NWA210AX 버전: ~ 7.00(ABTD.1) (포함)
AP NWA220AX-6E 버전: ~ 7.00(ACCO.1) (포함)
AP NWA1123-AC PRO 버전: ~ 6.28(ABHD.0) (포함)
AP NWA1123ACv3 버전: ~ 6.70(ABVT.4) (포함)
AP WAC500 버전: ~ 6.70(ABVS.4) (포함)
AP WAC500H 버전: ~ 6.70(ABWA.4) (포함)
AP WAC6103D-I 버전: ~ 6.28(AAXH.0) (포함)
AP WAC6502D-S 버전: ~ 6.28(AASE.0) (포함)
AP WAC6503D-S 버전: ~ 6.28(AASF.0) (포함)
AP WAC6552D-S 버전: ~ 6.28(ABIO.0) (포함)
AP WAC6553D-E 버전: ~ 6.28(AASG.2) (포함)
AP WAX300H 버전: ~ 7.00(ACHF.1) (포함)
AP WAX510D 버전: ~ 7.00(ABTF.1) (포함)
AP WAX610D 버전: ~ 7.00(ABTE.1) (포함)
AP WAX620D-6E 버전: ~ 7.00(ACCN.1) (포함)
AP WAX630S 버전: ~ 7.00(ABZD.1) (포함)
AP WAX640S-6E 버전: ~ 7.00(ACCM.1) (포함)
AP WAX650S 버전: ~ 7.00(ABRM.1) (포함)
AP WAX655E 버전: ~ 7.00(ACDO.1) (포함)
AP WBE530 버전: ~ 7.00(ACLE.1) (포함)
AP WBE660S 버전: ~ 7.00(ACGG.1) (포함)
Security router USG LITE 60AX 버전: V2.00(ACIP.2)

CVE-2024-7203

ATP ZLD 버전: 4.60(포함) ~ 5.38(포함)
USG FLEX ZLD 버전: 4.60(포함) ~ 5.38(포함)

CVE-2024-42060, CVE-2024-42057, CVE-2024-42058

ATP ZLD 버전: 4.32(포함) ~ 5.38(포함)
USG FLEX ZLD 버전: 4.50(포함) ~ 5.38(포함)
USG FLEX 50(W)/USG20(W)-VPN ZLD 버전: 4.16(포함) ~ 5.38(포함)

CVE-2024-42059

ATP ZLD 버전: 5.00(포함) ~ 5.38(포함)
USG FLEX ZLD 버전: 5.00(포함) ~ 5.38(포함)
USG FLEX 50(W)/USG20(W)-VPN ZLD 버전: 5.00(포함) ~ 5.38(포함)

해결된 취약점

일부 AP 및 보안 라우터 버전의 CGI 프로그램에서 매개변수 “호스트”의 특수 요소를 부적절하게 무력화하면 인증되지 않은 공격자가 취약한 장치에 조작된 쿠키를 보내 OS 명령을 실행할 수 있는 취약점(CVE-2024-7261)
공격자가 정교하게 조작된 CLI 명령을 실행하여 영향을 받는 장치에서 일부 운영 체제(OS) 명령을 실행할 수 있는 명령 주입 취약점(CVE-2024-7203)
공격자가 취약한 장치에 정교하게 만든 내부 사용자 계약 파일을 업로드하여 영향을 받는 장치에서 일부 OS 명령을 실행할 수 있는 명령 주입 취약점(CVE-2024-42060)
공격자가 취약한 장치에 조작된 사용자 이름을 보내 영향을 받는 장치에서 일부 OS 명령을 실행할 수 있는 명령 주입 취약점(CVE-2024-42057)
공격자가 취약한 장치에 조작된 패킷을 보내 DoS 조건을 유발할 수 있는 커널 포인터 역참조 취약점(CVE-2024-42058)
공격자가 FTP를 통해 정교하게 압축된 언어 파일을 업로드하여 영향을 받는 장치에서 일부 OS 명령을 실행할 수 있는 명령 주입 취약점(CVE-2024-42059)

취약점 패치

최신 업데이트를 통해 제품별 취약점 패치가 다음과 같이 제공되었습니다. 영향받는 버전을 이용하는 경우 참고 사이트의 안내에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.

CVE-2024-7261