Ekkel Zyxel-fjernkjøringsfeil blir utnyttet

På slutten av forrige uke, Rapid7 avslørt en ekkel feil i Zyxel-brannmurer som kan tillate en uautentisert ekstern angriper å kjøre kode som ingen-bruker.

Programmeringsproblemet var ikke rensende input, med to felt som ble sendt til en CGI-behandler som ble matet inn i systemanrop. De berørte modellene var VPN- og ATP-serien, og USG 100(W), 200, 500, 700 og Flex 50(W)/USG20(W)-VPN.

På den tiden sa Rapid7 at det var 15,000 20,800 berørte modeller på internett som Shodan hadde funnet. I løpet av helgen har imidlertid Shadowserver Foundation økt tallet til over XNUMX XNUMX.

"Mest populære er USG20-VPN (10K IP-er) og USG20W-VPN (5.7K IP-er). De fleste av de CVE-2022-30525 berørte modellene er i EU – Frankrike (4.5K) og Italia (4.4K),» twitret.

Stiftelsen sa også at de hadde sett utnyttelse starte 13. mai, og oppfordret brukere til å lappe umiddelbart.

Etter at Rapid7 rapporterte om sårbarheten 13. april, ga den taiwanske maskinvareprodusenten stille ut oppdateringer 28. april. Rapid7 innså først at utgivelsen hadde skjedd 9. mai, og publiserte til slutt bloggen og Metasploit-modulen ved siden av Zyxel-varsel, og var ikke fornøyd med tidslinjen for hendelsene.

"Denne oppdateringsutgivelsen er ensbetydende med å frigi detaljer om sårbarhetene, siden angripere og forskere kan reversere oppdateringen for å lære nøyaktige utnyttelsesdetaljer, mens forsvarere sjelden gidder å gjøre dette," skrev Rapid7-oppdageren av feilen Jake Baines.

"Derfor frigir vi denne avsløringen tidlig for å hjelpe forsvarere med å oppdage utnyttelse og for å hjelpe dem med å bestemme når de skal bruke denne løsningen i sine egne miljøer, i henhold til deres egne risikotoleranser. Med andre ord, stille sårbarhetsoppdatering har en tendens til å bare hjelpe aktive angripere, og etterlater forsvarere i mørket om den sanne risikoen for nyoppdagede problemer.»

Zyxel hevdet på sin side at det var en "feilkommunikasjon under koordineringsprosessen for avsløring" og den "følger alltid prinsippene for koordinert avsløring".

I slutten av mars publiserte Zyxel en advarsel for en annen CVSS 9.8-sårbarhet i sitt CGI-program som kan tillate en angriper å omgå autentisering og løpe rundt enheten med administrativ tilgang.