CVE-2022-30525
Sobre
Uma vulnerabilidade de injeção de comandos de SO no programa CGI do firmware Zyxel USG FLEX 100(W) versões 5.00 a 5.21 Patch 1, USG FLEX 200 versões 5.00 a 5.21 Patch 1, USG FLEX 500 versões 5.00 a 5.21 Patch 1, USG FLEX 700 versões 5.00 a 5.21 Patch 1, USG FLEX 50(W) versões 5.10 a 5.21 Patch 1, USG20(W)-VPN versões 5.10 a 5.21 Patch 1, série ATP versões 5.10 a 5.21 Patch 1, série VPN versões 4.60 a 5.21 Patch 1, que poderia permitir a um atacante modificar arquivos específicos e então executar alguns comandos de SO em um dispositivo vulnerável.
Análise do analista Rainforest
Um programa CGI no firmware de firewall da Zyxel passa entrada influenciada pelo atacante para um comando de SO sem a devida sanitização. Um atacante não autenticado envia uma requisição elaborada para a interface web do dispositivo, grava em arquivos específicos e, a partir daí, executa comandos no sistema subjacente. Como o handler vulnerável é alcançável antes do login, a exploração é um caminho direto e de um único passo para a execução de código com os privilégios com que o dispositivo opera, sem credenciais e sem interação do usuário.
Os modelos afetados são firewalls das séries USG FLEX, ATP e VPN e concentradores VPN, appliances que ficam no perímetro da rede por definição e terminam o acesso remoto das organizações por trás deles. Comprometer um entrega ao atacante uma posição para pivotar para dentro, interceptar tráfego ou preparar novas intrusões, razão pela qual equipamentos de segurança de perímetro são um alvo tão cobiçado e por que isto entrou na lista KEV da CISA, com exploração ativa relatada logo após a divulgação. Aplique o firmware ZLD 5.30 da Zyxel. Além de corrigir, restrinja o acesso pelo lado WAN à interface de gerenciamento e investigue alterações inesperadas de arquivos ou novas contas, já que um dispositivo exposto pode já ter sido alcançado.
Referências
- http://packetstormsecurity.com/files/167176/Zyxel-Remote-Command-Execution.html
- http://packetstormsecurity.com/files/167182/Zyxel-Firewall-ZTP-Unauthenticated-Command-Injection.html
- http://packetstormsecurity.com/files/167372/Zyxel-USG-FLEX-5.21-Command-Injection.html
- http://packetstormsecurity.com/files/168202/Zyxel-Firewall-SUID-Binary-Privilege-Escalation.html
- https://www.zyxel.com/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-30525
CVEs Relacionadas
Perguntas frequentes
O que é CVE-2022-30525?
Uma vulnerabilidade de injeção de comandos de SO no programa CGI do firmware Zyxel USG FLEX 100(W) versões 5.00 a 5.21 Patch 1, USG FLEX 200 versões 5.00 a 5.21 Patch 1, USG FLEX 500 versões 5.00 a 5.21 Patch 1, USG FLEX 700 versões 5.00 a 5.21 Patch 1, USG FLEX 50(W) versões 5.10 a 5.21 Patch 1, USG20(W)-VPN versões 5.10 a 5.21 Patch 1, série ATP versões 5.10 a 5.21 Patch 1, série VPN versões 4.60 a 5.21 Patch 1, qu…
Qual a gravidade de CVE-2022-30525?
CVE-2022-30525 tem pontuação base CVSS 3.1 de 9.8, classificada como critical. No Rainforest Risk Index — que pondera a gravidade junto com a facilidade de alcançar a falha e a amplitude do impacto — a nota é 99 de 100, na faixa crítico.
Como CVE-2022-30525 é explorada?
Segundo o vetor CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): vetor de ataque Rede, complexidade de ataque Baixa, privilégios necessários Nenhum, interação do usuário Nenhuma. Impacto em confidencialidade Alto, integridade Alto e disponibilidade Alto.
Quais produtos são afetados por CVE-2022-30525?
Os avisos públicos listam como afetados: atp100, atp100 firmware, atp100w, atp100w firmware, atp200, atp200 firmware, +26. Consulte as referências desta página para as versões exatas confirmadas por cada fornecedor.
Como corrigir CVE-2022-30525?
Aplique a correção publicada pelo fornecedor — as referências desta página levam aos avisos e patches originais. Quando não for possível corrigir de imediato, reduza a exposição do componente afetado e monitore tentativas de exploração. Clientes Rainforest recebem esta vulnerabilidade correlacionada aos próprios ativos e priorizada pela exposição real, não apenas pela nota.
Potencialize sua estratégia de segurança com a Rainforest
Descubra vulnerabilidades cedo, priorize ameaças críticas e proteja o que realmente importa. A Rainforest simplifica suas operações de segurança, economizando tempo e reduzindo custos, para você focar no que move o seu negócio.