Жаман Zyxel қашықтан орындау қатесі пайдаланылуда

Өткен аптаның соңында Rapid7 ашылды аутентификацияланбаған қашықтағы шабуылдаушыға ешкім пайдаланушы ретінде кодты орындауға мүмкіндік беретін Zyxel брандмауэрлеріндегі жағымсыз қате.

Бағдарламалау мәселесі кірісті зарарсыздандыру емес, екі өріс жүйелік қоңырауларға жіберілетін CGI өңдеушісіне берілді. Әсер еткен үлгілер оның VPN және ATP сериялары және USG 100(W), 200, 500, 700 және Flex 50(W)/USG20(W)-VPN болды.

Сол кезде Rapid7 интернетте Шодан тапқан 15,000 20,800 зардап шеккен модель бар екенін айтты. Дегенмен, демалыс күндері Shadowserver Foundation бұл санды XNUMX XNUMX-ден астамға арттырды.

«Ең танымал USG20-VPN (10K IP) және USG20W-VPN (5.7K IP). CVE-2022-30525 әсер еткен үлгілердің көпшілігі ЕО – Франция (4.5 мың) және Италия (4.4 мың) елдерінде. tweeted.

Қор сонымен қатар 13 мамырда пайдалану басталғанын айтты және пайдаланушыларды дереу түзетуге шақырды.

Rapid7 13 сәуірде осалдық туралы хабарлағаннан кейін, Тайваньдық жабдық өндірушісі 28 сәуірде үнсіз патчтарды шығарды. Rapid7 шығарылымның 9 мамырда болғанын түсінді және соңында блогы мен Metasploit модулін жариялады. Zyxel ескертуі, және оқиғалардың уақыт кестесіне риза болмады.

«Бұл патч шығарылымы осалдықтар туралы мәліметтерді шығарумен бірдей, өйткені шабуылдаушылар мен зерттеушілер пайдаланудың нақты мәліметтерін білу үшін патчты тривиальды түрде өзгерте алады, ал қорғаушылар мұны сирек жасайды», - деп жазды Rapid7 қатесін ашқан Джейк Бейнс.

«Сондықтан біз қорғаушыларға пайдалануды анықтауға көмектесу және олардың тәуекелге төзімділік деңгейіне сәйкес осы түзетуді өз орталарында қашан қолдану керектігін шешуге көмектесу үшін бұл ақпаратты ертерек жариялап отырмыз. Басқаша айтқанда, осалдықты үнсіз түзету белсенді шабуылдаушыларға ғана көмектеседі және қорғаушыларды жаңадан ашылған мәселелердің шынайы қаупі туралы қараңғыда қалдырады.

Өз тарапынан Zyxel «ашуды үйлестіру процесінде қателік болды» және ол «әрқашан келісілген ашу принциптерін ұстанады» деп мәлімдеді.

Наурыз айының соңында Zyxel өзінің CGI бағдарламасындағы басқа CVSS 9.8 осалдығы туралы кеңес жариялады, ол шабуылдаушыға аутентификацияны айналып өтуге және әкімшілік қатынасы бар құрылғыны айналып өтуге мүмкіндік береді.

Қатысты қамту



қайнар көз