Nasty Zyxel алыстан аткаруу мүчүлүштүгү колдонулууда

Өткөн жуманын аягында, Rapid7 ачылган Zyxel брандмауэриндеги жагымсыз мүчүлүштүк, аныктыгы текшерилбеген алыскы чабуулчуга кодду эч ким колдонуучу катары аткарууга мүмкүндүк берет.

Программалоо маселеси киргизүүнү тазалоо эмес болчу, эки талаа CGI иштеткичке өтүп, системалык чалууларга берилет. Таасирленген моделдер анын VPN жана ATP сериялары жана USG 100(W), 200, 500, 700 жана Flex 50(W)/USG20(W)-VPN болду.

Ошол кезде Rapid7 интернетте Шодан тапкан 15,000 20,800 жабыр тарткан моделдер бар экенин айтты. Бирок, дем алыш күндөрү Shadowserver Foundation бул санды XNUMXдөн ашты.

«Эң популярдуу USG20-VPN (10 миң IP) жана USG20W-VPN (5.7 миң IP). CVE-2022-30525 жапа чеккен моделдердин көбү ЕБде - Францияда (4.5 миң) жана Италияда (4.4 миң) бар. шопурлуктан.

Фонд ошондой эле эксплуатация 13-майда башталганын айтып, колдонуучуларды тез арада оңдоого чакырды.

Rapid7 13-апрелде алсыздык жөнүндө билдиргенден кийин, Тайвандык аппараттык камсыздоочу 28-апрелде унчукпай тактарды чыгарды. Rapid7 релиз 9-майда болгонун түшүнүп, акырында блогун жана Metasploit модулун жарыялады. Zyxel эскертүүсү, жана окуялардын хронологиясына ыраазы болгон жок.

"Бул патч релиз алсыздыктын майда-чүйдөсүнө чейин чыгарууга барабар, анткени чабуулчулар жана изилдөөчүлөр эксплуатациянын так чоо-жайын билүү үчүн патчты анча-мынча тескери бура алышат, ал эми коргоочулар муну сейрек убара болушат", - деп жазган Rapid7 катасынын ачуучусу Джейк Бейнс.

«Ошондуктан, биз коргоочуларга эксплуатацияны аныктоого жардам берүү жана бул оңдоону өз чөйрөлөрүндө, өздөрүнүн тобокелдиктерге толеранттуулугуна жараша, качан колдонууну чечүүгө жардам берүү үчүн, биз бул ачылышты эртелеп чыгарып жатабыз. Башкача айтканда, унчукпаган аялууларды жамоо активдүү чабуулчуларга гана жардам берет жана коргоочуларды жаңы ачылган маселелердин чыныгы коркунучу жөнүндө караңгыда калтырат.

Өз кезегинде, Zyxel "ачыкка чыгарууну координациялоо процессинде туура эмес байланыш бар" деп ырастады жана ал "ар дайым макулдашылган ачып берүү принциптерин карманат".

Март айынын аягында Zyxel өзүнүн CGI программасында чабуулчуга аутентификацияны айланып өтүп, административдик кирүү мүмкүнчүлүгү бар аппаратты айланып өтүүгө мүмкүндүк берген дагы бир CVSS 9.8 алсыздыгы боюнча кеңешти жарыялады.

Related Тейлөө