Ngày 28 tháng 4 năm 2023Ravie Lakshmanan An ninh mạng / Lỗ hổng bảo mật
Nhà sản xuất thiết bị mạng Zyxel đã phát hành các bản vá cho lỗ hổng bảo mật nghiêm trọng trong các thiết bị tường lửa có thể bị khai thác để thực thi mã từ xa trên các hệ thống bị ảnh hưởng.
Sự cố, được theo dõi là CVE-2023-28771, được xếp hạng 9,8 trên hệ thống tính điểm CVSS. Các nhà nghiên cứu từ TRAPA security đã được ghi nhận là người đã báo cáo lỗ hổng này.
Zyxel cho biết trong một lời khuyên vào ngày 25 tháng 4 năm 2023: “Việc xử lý thông báo lỗi không đúng cách trong một số phiên bản tường lửa có thể cho phép kẻ tấn công không được xác thực thực thi một số lệnh của hệ điều hành từ xa bằng cách gửi các gói được tạo thủ công đến một thiết bị bị ảnh hưởng”.
Các sản phẩm bị ảnh hưởng bởi lỗ hổng là –
ATP (phiên bản ZLD V4.60 đến V5.35, được vá trong ZLD V5.36) USG FLEX (phiên bản ZLD V4.60 đến V5.35, được vá trong ZLD V5.36) VPN (phiên bản ZLD V4.60 đến V5.35 , được vá trong ZLD V5.36) và ZyWALL/USG (phiên bản ZLD V4.60 đến V4.73, được vá trong ZLD V4.73 Patch 1)
Zyxel cũng đã xử lý lỗ hổng chèn lệnh hậu xác thực có mức độ nghiêm trọng cao ảnh hưởng đến các phiên bản tường lửa chọn lọc (CVE-2023-27991, điểm CVSS: 8.8) có thể cho phép kẻ tấn công được xác thực thực thi một số lệnh hệ điều hành từ xa.
Sự thiếu sót ảnh hưởng đến các thiết bị ATP, USG FLEX, USG FLEX 50(W) / USG20(W)-VPN và VPN đã được giải quyết trong ZLD V5.36.
Cuối cùng, công ty cũng đã cung cấp các bản sửa lỗi cho 5 lỗ hổng nghiêm trọng cao ảnh hưởng đến một số tường lửa và thiết bị điểm truy cập (AP) (từ CVE-2023-22913 đến CVE-2023-22918) có thể dẫn đến thực thi mã và gây ra lỗi từ chối. điều kiện dịch vụ (DoS).
Nikita Abramov từ công ty an ninh mạng của Nga Positive Technologies đã được ghi nhận vì đã báo cáo các vấn đề. Abramov, đầu năm nay, cũng đã phát hiện ra 4 lỗ hổng tràn bộ đệm và tiêm lệnh trong CPE, ONT sợi quang và bộ mở rộng WiFi.
Lỗ hổng nghiêm trọng nhất là CVE-2022-43389 (điểm CVSS: 9,8), lỗ hổng tràn bộ đệm ảnh hưởng đến các thiết bị 5G NR/4G LTE CPE.
“Nó không yêu cầu xác thực để khai thác và dẫn đến việc thực thi mã tùy ý trên thiết bị,” Abramov giải thích vào thời điểm đó. “Kết quả là, kẻ tấn công có thể có quyền truy cập từ xa vào thiết bị và kiểm soát hoàn toàn hoạt động của thiết bị.”
