CVE-2023-28771

Błąd tkwi w nieprawidłowej obsłudze komunikatów o błędach w dekoderze pakietów IKE (Internet Key Exchange). Atakujący może wysłać specjalnie spreparowane pakiety sieciowe do podatnego urządzenia bez konieczności posiadania jakichkolwiek poświadczeń. Na skutek niewłaściwego przetwarzania tych pakietów możliwe jest wstrzyknięcie i wykonanie dowolnych poleceń systemu operacyjnego na urządzeniu docelowym.

Atakujący bez uwierzytelnienia może zdalnie wykonać dowolne polecenia OS na urządzeniu, co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem — możliwość modyfikacji konfiguracji, uzyskania dostępu do sieci wewnętrznej oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do dalszych działań.

Należy natychmiast zaktualizować firmware do wersji nieobciążonych podatnością zgodnie z oficjalnym komunikatem bezpieczeństwa Zyxel dostępnym pod adresem wskazanym w referencjach producenta. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do interfejsów zarządzania urządzeń oraz monitorowanie ruchu sieciowego pod kątem anomalii.

Zyxel ZyWALL/USG series firmware w wersjach 4.60–4.73; Zyxel VPN series firmware w wersjach 4.60–5.35; Zyxel USG FLEX series firmware w wersjach 4.60–5.35; Zyxel ATP series firmware w wersjach 4.60–5.35

Podatność jest wpisana do katalogu CISA KEV (Known Exploited Vulnerabilities). Publicznie dostępny jest kod exploit dla dekodera pakietów IKE (źródło: Packet Storm Security). Dotyczy urządzeń sieciowych klasy firewall/VPN powszechnie stosowanych na obrzeżach sieci korporacyjnych, co czyni ją szczególnie niebezpieczną.

CISA KEV — szczegółyi

Dostawcai

Zyxel

Produkti

Multiple Firewalls

Data dodania do KEVi

31 maja 2023

Termin remediation (USA)i

21 czerwca 2023(po terminie)