CVE-2022-30525

Luka występuje w programie CGI obsługującym interfejs zarządzania urządzeniami Zyxel. Atakujący może bez żadnego uwierzytelnienia wysłać spreparowane żądanie do podatnego punktu końcowego CGI, co pozwala na modyfikację określonych plików na urządzeniu. Po wprowadzeniu zmian w tych plikach możliwe jest wykonanie dowolnych poleceń systemu operacyjnego na podatnym urządzeniu.

Atakujący uzyskuje możliwość zdalnego wykonania dowolnych poleceń systemu operacyjnego na urządzeniu bez konieczności uwierzytelnienia, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, kradzieży danych konfiguracyjnych (w tym danych uwierzytelniających VPN) oraz wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Należy niezwłocznie zaktualizować firmware do wersji wyższej niż 5.21 Patch 1 zgodnie z zaleceniami producenta opublikowanymi w oficjalnym biuletynie bezpieczeństwa Zyxel. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniami wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego dostępu do panelu administracyjnego od strony Internetu.

Zyxel USG FLEX 100(W) firmware 5.00–5.21 Patch 1, USG FLEX 200 firmware 5.00–5.21 Patch 1, USG FLEX 500 firmware 5.00–5.21 Patch 1, USG FLEX 700 firmware 5.00–5.21 Patch 1, USG FLEX 50(W) firmware 5.10–5.21 Patch 1, USG20(W)-VPN firmware 5.10–5.21 Patch 1, seria ATP firmware 5.10–5.21 Patch 1, seria VPN firmware 4.60–5.21 Patch 1

Podatność jest wpisana na listę CISA KEV jako aktywnie exploitowana. Publicznie dostępne są co najmniej trzy exploity opublikowane w serwisie PacketStorm, w tym exploity umożliwiające nieuwierzytelnione RCE oraz privilege escalation przez binaria SUID.

CISA KEV — szczegółyi

Dostawcai

Zyxel

Produkti

Multiple Firewalls

Data dodania do KEVi

16 maja 2022

Termin remediation (USA)i

6 czerwca 2022(po terminie)