Το δυσάρεστο σφάλμα απομακρυσμένης εκτέλεσης Zyxel γίνεται αντικείμενο εκμετάλλευσης

Στο τέλος της περασμένης εβδομάδας, το Rapid7 γνωστοποιούνται ένα δυσάρεστο σφάλμα στα τείχη προστασίας Zyxel που θα μπορούσε να επιτρέψει σε έναν μη επαληθευμένο απομακρυσμένο εισβολέα να εκτελέσει τον κώδικα ως ο χρήστης κανένας.

Το πρόβλημα προγραμματισμού δεν ήταν η είσοδος απολύμανσης, με δύο πεδία που μεταβιβάστηκαν σε έναν χειριστή CGI να τροφοδοτούνται στις κλήσεις συστήματος. Τα μοντέλα που επηρεάστηκαν ήταν οι σειρές VPN και ATP και USG 100(W), 200, 500, 700 και Flex 50(W)/USG20(W)-VPN.

Τότε, το Rapid7 είπε ότι υπήρχαν 15,000 επηρεασμένα μοντέλα στο διαδίκτυο που είχε βρει ο Shodan. Ωστόσο, το Σαββατοκύριακο, το Shadowserver Foundation αύξησε αυτόν τον αριθμό σε πάνω από 20,800.

«Τα πιο δημοφιλή είναι τα USG20-VPN (10K IP) και USG20W-VPN (5.7K IP). Τα περισσότερα από τα μοντέλα που επηρεάζονται από το CVE-2022-30525 βρίσκονται στην ΕΕ – Γαλλία (4.5 χιλιάδες) και Ιταλία (4.4 χιλιάδες)». tweeted.

Το Ίδρυμα είπε επίσης ότι είχε δει την εκμετάλλευση να ξεκινά στις 13 Μαΐου και προέτρεψε τους χρήστες να επιδιορθώσουν αμέσως.

Αφού το Rapid7 ανέφερε την ευπάθεια στις 13 Απριλίου, ο Ταϊβανέζος κατασκευαστής υλικού κυκλοφόρησε σιωπηλά ενημερώσεις κώδικα στις 28 Απριλίου. Το Rapid7 συνειδητοποίησε ότι η κυκλοφορία είχε γίνει στις 9 Μαΐου και τελικά δημοσίευσε το ιστολόγιό του και την ενότητα Metasploit μαζί με Ανακοίνωση Zyxel, και δεν ήταν ευχαριστημένος με το χρονοδιάγραμμα των γεγονότων.

«Αυτή η έκδοση ενημερωμένης έκδοσης κώδικα ισοδυναμεί με την απελευθέρωση λεπτομερειών των τρωτών σημείων, καθώς οι εισβολείς και οι ερευνητές μπορούν να αντιστρέψουν επιπόλαια την ενημερωμένη έκδοση κώδικα για να μάθουν ακριβείς λεπτομέρειες εκμετάλλευσης, ενώ οι υπερασπιστές σπάνια μπαίνουν στον κόπο να το κάνουν», έγραψε ο Jake Baines που ανακαλύπτει το σφάλμα Rapid7.

«Ως εκ τούτου, δημοσιεύουμε αυτήν την αποκάλυψη νωρίς, προκειμένου να βοηθήσουμε τους υπερασπιστές να εντοπίσουν την εκμετάλλευση και να τους βοηθήσουμε να αποφασίσουν πότε θα εφαρμόσουν αυτήν την επιδιόρθωση στο δικό τους περιβάλλον, σύμφωνα με τις δικές τους ανοχές κινδύνου. Με άλλα λόγια, η αθόρυβη επιδιόρθωση ευπάθειας τείνει να βοηθά μόνο τους ενεργούς επιτιθέμενους και αφήνει τους αμυνόμενους στο σκοτάδι σχετικά με τον πραγματικό κίνδυνο προβλημάτων που ανακαλύφθηκαν πρόσφατα».

Από την πλευρά της, η Zyxel ισχυρίστηκε ότι υπήρξε «λανθασμένη επικοινωνία κατά τη διαδικασία συντονισμού της αποκάλυψης» και «ακολουθεί πάντα τις αρχές της συντονισμένης αποκάλυψης».

Στα τέλη Μαρτίου, η Zyxel δημοσίευσε μια συμβουλή για μια άλλη ευπάθεια CVSS 9.8 στο πρόγραμμα CGI της που θα μπορούσε να επιτρέψει σε έναν εισβολέα να παρακάμψει τον έλεγχο ταυτότητας και να τρέξει γύρω από τη συσκευή με πρόσβαση διαχειριστή.

Σχετική κάλυψη