Araraotina ny otrik'aretina Zyxel famonoana lavitra

Tamin'ny faran'ny herinandro lasa teo, Rapid7 nampahafantatra bibikely ratsy ao amin'ny tamboho Zyxel izay ahafahan'ny mpanafika lavitra tsy voamarina manatanteraka kaody ho mpampiasa tsy misy olona.

Ny olan'ny fandaharana dia tsy fanadiovana ny fidirana, miaraka amin'ny sehatra roa nafindra tany amin'ny mpandrindra CGI nampidirina amin'ny antso an-tariby. Ny maodely voadona dia ny andiany VPN sy ATP, ary USG 100(W), 200, 500, 700, ary Flex 50(W)/USG20(W)-VPN.

Tamin'izany fotoana izany, nilaza ny Rapid7 fa misy modely 15,000 voadona amin'ny aterineto izay hitan'i Shodan. Na izany aza, nandritra ny faran'ny herinandro, ny Shadowserver Foundation dia nampiakatra io isa io ho 20,800 mahery.

"Ny malaza indrindra dia USG20-VPN (10K IPs) sy USG20W-VPN (5.7K IPs). Ny ankamaroan'ny maodely voadona CVE-2022-30525 dia ao amin'ny EU - France (4.5K) ary Italia (4.4K)," hoy izy. Twitter.

Nilaza ihany koa ny Fondation fa nahita ny fanararaotana nanomboka tamin'ny 13 Mey, ary nanentana ireo mpampiasa mba hametaka avy hatrany.

Taorian'ny nitateran'ny Rapid7 ny vulnerability tamin'ny 13 Aprily, dia namoaka paty mangina ny mpanamboatra fitaovana Taiwaney tamin'ny 28 Aprily. Ny Rapid7 ihany no nahatsapa fa nitranga tamin'ny 9 May ny famoahana azy, ary tamin'ny farany dia namoaka ny bilaoginy sy ny maody Metasploit niaraka tamin'ny Zyxel notice, ary tsy faly tamin'ny fizotry ny zava-nitranga.

"Ity famotsorana patch ity dia mitovy amin'ny famoahana antsipirihan'ny vulnerabilities, satria ny mpanafika sy ny mpikaroka dia afaka mamadika tsinontsinona ny patch mba hianarana ny antsipiriany momba ny fitrandrahana, fa ny mpiaro kosa dia mahalana ny manao izany," hoy i Jake Baines, mpikaroka Rapid7, nanoratra.

“Noho izany, avoakanay aloha ity fampahafantarana ity mba hanampiana ireo mpiaro amin'ny fijerena ny fanararaotana sy hanampiana azy ireo hanapa-kevitra hoe rahoviana no hampiharana an'io fanamboarana io amin'ny tontolo iainany, araka ny fandeferana mety hitranga. Raha lazaina amin'ny teny hafa, ny patching vulnerability mangina dia manampy ireo mpanafika mavitrika fotsiny, ary mamela ny mpiaro ao anaty haizina momba ny tena loza mety hitranga amin'ny olana vao hita. "

Ho an'ny ampahany, nilaza i Zyxel fa nisy “fifandraisana diso nandritra ny dingan'ny fandrindrana ny fampahafantarana” ary “manaraka hatrany ny fitsipiky ny fampahafantarana mirindra”.

Tamin'ny faran'ny volana martsa dia namoaka toro-hevitra ho an'ny vulnerability CVSS 9.8 hafa i Zyxel ao amin'ny programa CGI izay ahafahan'ny mpanafika iray handalo ny fanamarinana sy mihazakazaka manodidina ilay fitaovana miaraka amin'ny fidirana ara-pitantanana.

Related Coverage