Lỗi thực thi từ xa Zyxel khó chịu đang bị khai thác

Vào cuối tuần trước, Rapid7 tiết lộ một lỗi khó chịu trong tường lửa Zyxel có thể cho phép kẻ tấn công từ xa không được xác thực thực thi mã với tư cách là người dùng không ai cả.

Vấn đề lập trình không phải là làm sạch đầu vào, với hai trường được chuyển tới trình xử lý CGI được đưa vào các lệnh gọi hệ thống. Các mẫu bị ảnh hưởng là dòng VPN và ATP cũng như USG 100(W), 200, 500, 700 và Flex 50(W)/USG20(W)-VPN.

Vào thời điểm đó, Rapid7 cho biết có 15,000 người mẫu bị ảnh hưởng trên Internet mà Shodan đã tìm thấy. Tuy nhiên, cuối tuần qua, Shadowserver Foundation đã tăng con số đó lên hơn 20,800.

“Phổ biến nhất là USG20-VPN (10K IP) và USG20W-VPN (5.7K IP). Hầu hết các mẫu CVE-2022-30525 bị ảnh hưởng đều ở EU – Pháp (4.5K) và Ý (4.4K),” nó tweeted.

Tổ chức cũng cho biết họ đã thấy hoạt động khai thác bắt đầu vào ngày 13 tháng XNUMX và kêu gọi người dùng vá lỗi ngay lập tức.

Sau khi Rapid7 báo cáo lỗ hổng này vào ngày 13 tháng 28, nhà sản xuất phần cứng Đài Loan đã âm thầm phát hành các bản vá vào ngày 7 tháng 9. RapidXNUMX chỉ nhận ra việc phát hành đã xảy ra vào ngày XNUMX tháng XNUMX và cuối cùng đã xuất bản blog và mô-đun Metasploit của mình cùng với Thông báo Zyxelvà không hài lòng với dòng thời gian của các sự kiện.

Jake Baines, người phát hiện ra lỗi Rapid7 đã viết: “Bản phát hành bản vá này tương đương với việc tiết lộ thông tin chi tiết về các lỗ hổng, vì những kẻ tấn công và nhà nghiên cứu có thể đảo ngược bản vá một cách tầm thường để tìm hiểu chi tiết khai thác chính xác, trong khi những người bảo vệ hiếm khi bận tâm đến việc này”.

“Do đó, chúng tôi sớm công bố thông tin này để hỗ trợ những người bảo vệ phát hiện hành vi khai thác và giúp họ quyết định thời điểm áp dụng bản sửa lỗi này trong môi trường của chính họ, tùy theo mức độ chấp nhận rủi ro của riêng họ. Nói cách khác, việc vá lỗ hổng âm thầm có xu hướng chỉ giúp ích cho những kẻ tấn công tích cực và khiến những người bảo vệ không biết gì về nguy cơ thực sự của các vấn đề mới được phát hiện.”

Về phần mình, Zyxel khẳng định đã có “thông tin sai lệch trong quá trình phối hợp tiết lộ” và nó “luôn tuân theo các nguyên tắc phối hợp tiết lộ”.

Vào cuối tháng 9.8, Zyxel đã đưa ra lời khuyên về một lỗ hổng CVSS XNUMX khác trong chương trình CGI của mình. Lỗ hổng này có thể cho phép kẻ tấn công bỏ qua xác thực và chạy xung quanh thiết bị với quyền truy cập quản trị.

Bảo hiểm liên quan