Kasutatakse ära ebameeldivat Zyxeli kaugkäivitamise viga

Eelmise nädala lõpus Rapid7 avalikustatud vastik viga Zyxeli tulemüürides, mis võib lubada autentimata kaugründajal käivitada koodi mittekeegi kasutajana.

Programmeerimise probleem ei olnud sisendi desinfitseerimine, kaks CGI-käsitlejale edastatud välja suunati süsteemikõnedesse. Mõjutatud mudelid olid selle VPN- ja ATP-seeriad ning USG 100(W), 200, 500, 700 ja Flex 50(W)/USG20(W)-VPN.

Sel ajal ütles Rapid7, et Internetis oli 15,000 20,800 mõjutatud mudelit, mille Shodan oli leidnud. Kuid nädalavahetusel on Shadowserver Foundation selle arvu suurendanud üle XNUMX XNUMX.

"Kõige populaarsemad on USG20-VPN (10K IP-d) ja USG20W-VPN (5.7K IP-d). Enamik CVE-2022-30525 mõjutatud mudeleid on EL-is – Prantsusmaal (4.5 4.4) ja Itaalias (XNUMX XNUMX) tweeted.

Samuti teatas sihtasutus, et 13. mail avastati ärakasutamine, ja kutsus kasutajaid üles viivitamatult paika panema.

Pärast seda, kui Rapid7 teatas haavatavusest 13. aprillil, avaldas Taiwani riistvaratootja vaikselt paigad 28. aprillil. Rapid7 sai aru alles 9. mail ning avaldas lõpuks oma ajaveebi ja Metasploiti mooduli koos Zyxeli teade, ega olnud sündmuste ajaskaalaga rahul.

"See plaastri väljalase on võrdne haavatavuste üksikasjade avaldamisega, kuna ründajad ja uurijad saavad plaastri triviaalselt ümber pöörata, et saada täpseid ekspluatatsiooni üksikasju, samas kui kaitsjad viitsivad seda harva teha," kirjutas vea Rapid7 avastaja Jake Baines.

"Seetõttu avaldame selle avalikustamise varakult, et aidata kaitsjatel ärakasutamist tuvastada ja aidata neil otsustada, millal seda parandust oma keskkonnas rakendada vastavalt nende enda riskitaluvusele. Teisisõnu, vaikne haavatavuse parandamine kipub aitama ainult aktiivseid ründajaid ja jätab kaitsjad teadmatusse uute avastatud probleemide tõelisest ohust.

Omalt poolt väitis Zyxel, et avalikustamise koordineerimisprotsessi ajal esines kommunikatsioonihäireid ja see järgib alati kooskõlastatud avalikustamise põhimõtteid.

Märtsi lõpus avaldas Zyxel soovituse oma CGI-programmis veel ühe CVSS 9.8 haavatavuse kohta, mis võib lubada ründajal autentimisest mööda minna ja administraatorijuurdepääsuga seadmes ringi joosta.

Seotud katvus