CVE-2023-33010

Błąd polega na przepełnieniu bufora (buffer overflow) w funkcji odpowiedzialnej za przetwarzanie identyfikatorów (ID) w oprogramowaniu sprzętowym (firmware) urządzeń. Atakujący może wysłać specjalnie spreparowany pakiet sieciowy bez konieczności wcześniejszego uwierzytelnienia, co powoduje przepełnienie bufora w pamięci urządzenia. W zależności od sposobu wykorzystania podatności możliwe jest zarówno doprowadzenie do stanu DoS (niedostępności urządzenia), jak i wykonanie zdalnego kodu (RCE) z poziomem uprawnień procesu docelowego.

Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad urządzeniem poprzez zdalne wykonanie kodu (RCE) lub spowodować jego niedostępność (DoS), co w przypadku urządzeń pełniących funkcje firewall lub VPN może skutkować całkowitą utratą ochrony sieci.

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z oficjalnym komunikatem bezpieczeństwa Zyxel (https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-buffer-overflow-vulnerabilities-of-firewalls). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsów zarządzania urządzeniami wyłącznie do zaufanych adresów IP.

Zyxel ATP series firmware w wersjach 4.32–5.36 Patch 1; USG FLEX series firmware w wersjach 4.50–5.36 Patch 1; USG FLEX 50(W) firmware w wersjach 4.25–5.36 Patch 1; USG20(W)-VPN firmware w wersjach 4.25–5.36 Patch 1; VPN series firmware w wersjach 4.30–5.36 Patch 1; ZyWALL/USG series firmware w wersjach 4.25–4.73 Patch 1.

Podatność jest umieszczona w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza aktywne wykorzystywanie jej w środowiskach produkcyjnych. Urządzenia z tej rodziny często pełnią rolę bram VPN i firewall w infrastrukturach korporacyjnych, co czyni je szczególnie atrakcyjnym celem.

CISA KEV — szczegółyi

Dostawcai

Zyxel

Produkti

Multiple Firewalls

Data dodania do KEVi

5 czerwca 2023

Termin remediation (USA)i

26 czerwca 2023(po terminie)