Zyxel se ha movido para abordar una vulnerabilidad de seguridad crítica que afecta a los dispositivos de firewall Zyxel que permite a los atacantes remotos y no autenticados obtener la ejecución de código arbitrario.
«Una vulnerabilidad de inyección de comandos en el programa CGI de algunas versiones de firewall podría permitir que un atacante modifique archivos específicos y luego ejecute algunos comandos del sistema operativo en un dispositivo vulnerable», dijo la empresa. dicho en un aviso publicado el jueves.
La empresa de ciberseguridad Rapid7, que descubierto e informó la falla el 13 de abril de 2022, dijo que la debilidad podría permitir que un adversario remoto no autenticado ejecute código como el usuario «nadie» en los dispositivos afectados.
rastreado como CVE-2022-30525 (puntaje CVSS: 9.8), la falla afecta a los siguientes productos, con parches lanzados en la versión ZLD V5.30:
- USG FLEX 100 (An), 200, 500, 700
- USG FLEX 50(W) / USG20(W)-VPN
- Serie ATP, y
- serie VPN
Rapid 7 señaló que hay al menos 16,213 dispositivos Zyxel vulnerables expuestos a Internet, lo que lo convierte en un lucrativo vector de ataque para que los actores de amenazas realicen posibles intentos de explotación.
La firma de ciberseguridad también señaló que Zyxel emitió silenciosamente correcciones para abordar el problema el 28 de abril de 2022 sin publicar las Vulnerabilidades y exposiciones comunes asociadas (CVE) identificador o un aviso de seguridad. Zyxel, en su alerta, culpó de esto a una «falta de comunicación durante el proceso de coordinación de divulgación».
«El parcheo silencioso de vulnerabilidades tiende a ayudar solo a los atacantes activos y deja a los defensores en la oscuridad sobre el verdadero riesgo de los problemas recién descubiertos», dijo Jake Baines, investigador de Rapid7.
El aviso llega cuando Zyxel abordó tres problemas diferentes, incluida una inyección de comando (CVE-2022-26413), un desbordamiento de búfer (CVE-2022-26414) y una escalada de privilegios local (CVE-2022-0556), en su enrutador inalámbrico VMG3312-T20A y configurador AP que podría conducir a la ejecución de código arbitrario.