Nasty Zyxel-etäsuoritusvirhettä hyödynnetään

Viime viikon lopussa Rapid7 esitetty ikävä bugi Zyxel-palomuurissa, joka saattaa sallia todentamattoman etähyökkääjän suorittaa koodia ei kukaan -käyttäjänä.

Ohjelmointiongelma ei ollut syötteen puhdistaminen, sillä kaksi CGI-käsittelijälle välitettyä kenttää syötettiin järjestelmäkutsuihin. Mallit, joihin tämä vaikuttaa, olivat sen VPN- ja ATP-sarjat sekä USG 100(W), 200, 500, 700 ja Flex 50(W)/USG20(W)-VPN.

Tuolloin Rapid7 sanoi, että Internetissä oli 15,000 20,800 mallia, jotka Shodan oli löytänyt. Kuitenkin viikonlopun aikana Shadowserver Foundation on nostanut tämän määrän yli XNUMX XNUMX:aan.

"Suosituimmat ovat USG20-VPN (10K IP) ja USG20W-VPN (5.7K IP). Suurin osa malleista, joihin CVE-2022-30525 vaikuttaa, on EU:ssa – Ranskassa (4.5 4.4) ja Italiassa (XNUMX XNUMX). Tweeted.

Säätiö sanoi myös nähneensä hyväksikäytön alkaneen 13. toukokuuta ja kehotti käyttäjiä korjaamaan välittömästi.

Sen jälkeen kun Rapid7 ilmoitti haavoittuvuudesta 13. huhtikuuta, taiwanilainen laitevalmistaja julkaisi hiljaa korjaustiedostot 28. huhtikuuta. Rapid7 tajusi vasta 9. toukokuuta, ja julkaisi lopulta bloginsa ja Metasploit-moduulinsa Zyxel huomautus, eikä ollut tyytyväinen tapahtumien aikajanaan.

"Tämä korjaustiedoston julkaisu vastaa haavoittuvuuksien yksityiskohtien julkaisemista, koska hyökkääjät ja tutkijat voivat triviaalisti kääntää korjaustiedoston saadakseen tarkkoja hyödyntämistietoja, kun taas puolustajat harvoin vaivautuvat tekemään tätä", Rapid7:n vian löytäjä Jake Baines kirjoitti.

"Siksi julkaisemme tämän tiedotteen aikaisin auttaaksemme puolustajia havaitsemaan hyväksikäyttöä ja auttamaan heitä päättämään, milloin tämä korjaus otetaan käyttöön omassa ympäristössään omien riskitoleranssiensa mukaisesti. Toisin sanoen hiljainen haavoittuvuuden korjaus auttaa yleensä vain aktiivisia hyökkääjiä ja jättää puolustajat hämärän peittoon äskettäin löydettyjen ongelmien todellisesta riskistä.

Zyxel puolestaan ​​väitti, että "tietojen paljastamisen koordinointiprosessin aikana tapahtui virheviestintä" ja se "noudattaa aina koordinoidun paljastamisen periaatteita".

Maaliskuun lopussa Zyxel julkaisi varoituksen toisesta CVSS 9.8 -haavoittuvuudesta CGI-ohjelmassaan, jonka avulla hyökkääjä voi ohittaa todennuksen ja juosta laitteen ympärillä järjestelmänvalvojan käyttöoikeuksin.

Aiheeseen liittyvä kattavuus