Otrevlig Zyxel-fjärrexekveringsbugg utnyttjas

I slutet av förra veckan, Rapid7 beskrives en otäck bugg i Zyxels brandväggar som kan göra det möjligt för en oautentiserad fjärrangripare att exekvera kod som ingen användare.

Programmeringsproblemet var inte sanerande indata, med två fält som skickades till en CGI-hanterare som matades in i systemanrop. De drabbade modellerna var VPN- och ATP-serien samt USG 100(W), 200, 500, 700 och Flex 50(W)/USG20(W)-VPN.

Vid den tiden sa Rapid7 att det fanns 15,000 20,800 drabbade modeller på internet som Shodan hade hittat. Men under helgen har Shadowserver Foundation ökat det antalet till över XNUMX XNUMX.

"Mest populära är USG20-VPN (10K IPs) och USG20W-VPN (5.7K IPs). De flesta av de modeller som påverkas av CVE-2022-30525 finns i EU – Frankrike (4.5 4.4) och Italien (XNUMX, XNUMX XNUMX)," Tweeted.

Stiftelsen sa också att det hade sett exploateringen starta den 13 maj och uppmanade användare att omedelbart lappa.

Efter att Rapid7 rapporterade sårbarheten den 13 april släppte den taiwanesiska hårdvarutillverkaren i tysthet patchar den 28 april. Rapid7 insåg att releasen hade hänt först den 9 maj och publicerade så småningom sin blogg och Metasploit-modulen tillsammans med Zyxel meddelande, och var inte nöjd med händelsernas tidslinje.

"Denna patch-release är liktydigt med att släppa detaljer om sårbarheterna, eftersom angripare och forskare kan vända på patchen för att lära sig exakta exploateringsdetaljer, medan försvarare sällan bryr sig om att göra detta", skrev Rapid7-upptäckaren av buggen Jake Baines.

"Därför släpper vi det här avslöjandet tidigt för att hjälpa försvarare att upptäcka exploatering och för att hjälpa dem att bestämma när de ska tillämpa denna korrigering i sina egna miljöer, enligt deras egna risktoleranser. Med andra ord tenderar tyst sårbarhetskorrigering bara att hjälpa aktiva angripare och lämnar försvarare i mörkret om den verkliga risken för nyupptäckta problem.”

För sin del hävdade Zyxel att det fanns en "felkommunikation under samordningsprocessen för avslöjande" och att den "alltid följer principerna för samordnat avslöjande".

I slutet av mars publicerade Zyxel ett meddelande om ytterligare en sårbarhet i CVSS 9.8 i sitt CGI-program som kan tillåta en angripare att kringgå autentisering och springa runt enheten med administrativ åtkomst.