Multiple Network-Attached Storage (NAS) Devices

Die Schwachstelle betrifft mehrere Netzwerkspeicher-Geräte (NAS) von Zyxel. Sie sitzt in der Verarbeitung von HTTP-Anfragen durch die Geräte-Firmware: Ein speziell präparierter Webaufruf wird nicht ausreichend geprüft, sodass darin enthaltene Anteile als Betriebssystem-Befehle interpretiert und ausgeführt werden – eine klassische Befehlsinjektion. Entscheidend ist, dass der Angriff vor jeder Authentifizierung gelingt: Ein Angreifer aus der Ferne benötigt weder Zugangsdaten noch eine bestehende Sitzung, sondern muss lediglich eine entsprechend gestaltete HTTP-Anfrage an das Gerät senden. Damit kann er eigene Befehle auf dem Betriebssystem des NAS ausführen. Betroffen sind die als Netzwerkspeicher eingesetzten Geräte, auf denen typischerweise Dateien zentral abgelegt werden; sind sie aus dem Internet erreichbar, steht der Angriffsweg unmittelbar offen, und ein Angreifer kann auf die gespeicherten Daten sowie das Gerät selbst zugreifen.