CVE-2022-30525
Acerca de
Una vulnerabilidad de inyección de comandos del sistema operativo en el programa CGI del firmware de Zyxel USG FLEX 100(W) versiones 5.00 a 5.21 Patch 1, USG FLEX 200 versiones 5.00 a 5.21 Patch 1, USG FLEX 500 versiones 5.00 a 5.21 Patch 1, USG FLEX 700 versiones 5.00 a 5.21 Patch 1, USG FLEX 50(W) versiones 5.10 a 5.21 Patch 1, USG20(W)-VPN versiones 5.10 a 5.21 Patch 1, serie ATP versiones 5.10 a 5.21 Patch 1, serie VPN versiones 4.60 a 5.21 Patch 1, que podría permitir a un atacante modificar archivos específicos y luego ejecutar algunos comandos del sistema operativo en un dispositivo vulnerable.
Análisis del analista Rainforest
Un programa CGI en el firmware de firewall de Zyxel pasa entrada influida por el atacante a un comando del sistema operativo sin la debida sanitización. Un atacante no autenticado envía una solicitud elaborada a la interfaz web del dispositivo, escribe en archivos específicos y, desde ahí, ejecuta comandos en el sistema subyacente. Como el manejador vulnerable es accesible antes del inicio de sesión, la explotación es una vía directa de un solo paso hacia la ejecución de código con los privilegios con que corre el dispositivo, sin credenciales y sin interacción del usuario.
Los modelos afectados son firewalls de las series USG FLEX, ATP y VPN, y concentradores VPN, dispositivos que por definición se ubican en el perímetro de la red y terminan el acceso remoto de las organizaciones que están detrás de ellos. Comprometer uno le da al atacante una posición para pivotar hacia el interior, interceptar tráfico o preparar una intrusión mayor, razón por la cual el equipamiento de seguridad perimetral es un objetivo tan codiciado y por la que esto llegó a la lista KEV de CISA con explotación activa reportada poco después de la divulgación. Aplique el firmware ZLD 5.30 de Zyxel. Más allá del parcheo, restrinja el acceso desde el lado WAN a la interfaz de administración y busque cambios inesperados en archivos o cuentas nuevas, ya que un dispositivo expuesto puede haber sido alcanzado ya.
Referencias
- http://packetstormsecurity.com/files/167176/Zyxel-Remote-Command-Execution.html
- http://packetstormsecurity.com/files/167182/Zyxel-Firewall-ZTP-Unauthenticated-Command-Injection.html
- http://packetstormsecurity.com/files/167372/Zyxel-USG-FLEX-5.21-Command-Injection.html
- http://packetstormsecurity.com/files/168202/Zyxel-Firewall-SUID-Binary-Privilege-Escalation.html
- https://www.zyxel.com/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-30525
CVEs Relacionadas
Preguntas frecuentes
¿Qué es CVE-2022-30525?
Una vulnerabilidad de inyección de comandos del sistema operativo en el programa CGI del firmware de Zyxel USG FLEX 100(W) versiones 5.00 a 5.21 Patch 1, USG FLEX 200 versiones 5.00 a 5.21 Patch 1, USG FLEX 500 versiones 5.00 a 5.21 Patch 1, USG FLEX 700 versiones 5.00 a 5.21 Patch 1, USG FLEX 50(W) versiones 5.10 a 5.21 Patch 1, USG20(W)-VPN versiones 5.10 a 5.21 Patch 1, serie ATP versiones 5.10 a 5.21 Patch 1, ser…
¿Qué tan grave es CVE-2022-30525?
CVE-2022-30525 tiene una puntuación base CVSS 3.1 de 9.8, calificada como critical. En el Rainforest Risk Index — que pondera la gravedad junto con lo fácil que es alcanzar la falla y la amplitud de su impacto — obtiene 99 sobre 100, en la banda crítico.
¿Cómo se explota CVE-2022-30525?
Según el vector CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): vector de ataque Red, complejidad de ataque Baja, privilegios necesarios Ninguno, interacción del usuario Ninguna. Impacto en confidencialidad Alto, integridad Alto y disponibilidad Alto.
¿Qué productos afecta CVE-2022-30525?
Los avisos públicos listan como afectados: atp100, atp100 firmware, atp100w, atp100w firmware, atp200, atp200 firmware, +26. Consulta las referencias de esta página para las versiones exactas que confirma cada proveedor.
¿Cómo se corrige CVE-2022-30525?
Aplica la corrección publicada por el proveedor — las referencias de esta página enlazan a los avisos y parches originales. Cuando no se pueda parchear de inmediato, reduce la exposición del componente afectado y vigila los intentos de explotación. Los clientes de Rainforest ven esta vulnerabilidad correlacionada con sus propios activos y priorizada por la exposición real, no solo por la puntuación.
Potencia tu estrategia de seguridad con Rainforest
Descubre vulnerabilidades a tiempo, prioriza amenazas críticas y protege lo que realmente importa. Rainforest simplifica tus operaciones de seguridad, ahorrando tiempo y reduciendo costos, para que te enfoques en lo que impulsa tu negocio.