CVE-2023-33009

Błąd polega na przepełnieniu bufora (buffer overflow, CWE-120) w funkcji obsługi powiadomień wbudowanej w firmware urządzeń Zyxel. Atakujący może wysłać specjalnie spreparowane dane sieciowe bez konieczności posiadania jakichkolwiek poświadczeń, co powoduje nadpisanie pamięci procesu. W zależności od warunków prowadzi to do awarii urządzenia (DoS) lub do przejęcia nad nim pełnej kontroli poprzez zdalne wykonanie kodu (RCE).

Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod na urządzeniu (RCE) lub całkowicie wyłączyć jego działanie (DoS), co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem brzegowym lub zablokowanie dostępu do sieci chronionej przez to urządzenie.

Należy niezwłocznie zaktualizować firmware do wersji wyższej niż 5.36 Patch 1 (dla serii ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN, VPN) lub wyższej niż 4.73 Patch 1 (dla serii ZyWALL/USG), zgodnie z oficjalnym komunikatem bezpieczeństwa Zyxel dostępnym w referencjach. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsów zarządzania urządzeń.

Zyxel ATP series firmware 4.60–5.36 Patch 1, Zyxel USG FLEX series firmware 4.60–5.36 Patch 1, Zyxel USG FLEX 50(W) firmware 4.60–5.36 Patch 1, Zyxel USG20(W)-VPN firmware 4.60–5.36 Patch 1, Zyxel VPN series firmware 4.60–5.36 Patch 1, Zyxel ZyWALL/USG series firmware 4.60–4.73 Patch 1

Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. CVE-2023-33009 jest powiązana z CVE-2023-33010 — obie dotyczą buffer overflow w firmware Zyxel i zostały ujawnione tego samego dnia w ramach tego samego biuletynu bezpieczeństwa producenta.

CISA KEV — szczegółyi

Dostawcai

Zyxel

Produkti

Multiple Firewalls

Data dodania do KEVi

5 czerwca 2023

Termin remediation (USA)i

26 czerwca 2023(po terminie)