Ağ ekipmanı üreticisi Zyxel, güvenlik duvarı cihazlarında, etkilenen sistemlerde uzaktan kod yürütülmesini sağlamak için kullanılabilecek kritik bir güvenlik açığı için yamalar yayınladı.
CVE-2023-28771 olarak izlenen sorun, CVSS puanlama sisteminde 9,8 olarak derecelendirildi. TRAPA Security’den araştırmacılar, kusuru bildirdikleri için kredilendirildi.
Zyxel, 25 Nisan 2023 tarihli bir danışma belgesinde, “Bazı güvenlik duvarı sürümlerinde yanlış hata mesajı işleme, kimliği doğrulanmamış bir saldırganın, etkilenen bir cihaza özel hazırlanmış paketler göndererek bazı işletim sistemi komutlarını uzaktan yürütmesine izin verebilir.”
Kusurdan etkilenen ürünler:
- ATP (ZLD V4.60 – V5.35 sürümleri, ZLD V5.36’da yamalı)
- USG FLEX (ZLD V4.60 – V5.35 sürümleri, ZLD V5.36’da yamalı)
- VPN (ZLD V4.60 – V5.35 sürümleri, ZLD V5.36’da yamalı) ve
- ZyWALL/USG (ZLD V4.60 – V4.73 sürümleri, ZLD V4.73 Yama 1’de yamalı)
Zyxel ayrıca, kimliği doğrulanmış bir saldırganın bazı işletim sistemi komutlarını uzaktan yürütmesine izin verebilecek, belirli güvenlik duvarı sürümlerini (CVE-2023-27991, CVSS puanı: 8.8) etkileyen, yüksek öneme sahip bir kimlik doğrulama sonrası komut ekleme güvenlik açığını ele almıştır.
ATP, USG FLEX, USG FLEX 50(W) / USG20(W)-VPN ve VPN cihazlarını etkileyen eksiklik ZLD V5.36’da giderilmiştir.
Gerçek Zamanlı Koruma ile Fidye Yazılımını Durdurmayı Öğrenin
Web seminerimize katılın ve gerçek zamanlı MFA ve hizmet hesabı koruması ile fidye yazılımı saldırılarını nasıl durduracağınızı öğrenin.
Koltuğumu Kurtar!
Son olarak, şirket aynı zamanda çeşitli güvenlik duvarlarını ve erişim noktası (AP) cihazlarını (CVE-2023-22913’ten CVE-2023-22918’e) etkileyen ve kod yürütülmesine ve reddedilmesine neden olabilecek beş yüksek önem dereceli kusur için düzeltmeler gönderdi. hizmet (DoS) durumu.
Rus siber güvenlik şirketi Positive Technologies’den Nikita Abramov, sorunları bildirdiği için kredilendirildi. Abramov, bu yılın başlarında ayrıca CPE, fiber ONT’ler ve WiFi genişleticilerde dört komut enjeksiyonu ve arabellek taşması güvenlik açığı keşfetti.
Açıklardan en ciddi olanı, 5G NR/4G LTE CPE cihazlarını etkileyen bir arabellek taşması güvenlik açığı olan CVE-2022-43389’dur (CVSS puanı: 9.8).
O sırada Abramov, “Kullanılması için kimlik doğrulama gerektirmedi ve cihazda rasgele kod yürütülmesine yol açtı” dedi. “Sonuç olarak, bir saldırgan cihaza uzaktan erişim sağlayabilir ve çalışmasını tamamen kontrol edebilir.”