0
0
Uma vulnerabilidade de injeção de comando recentemente corrigida (CVE-2023-28771) que afeta uma variedade de firewalls Zyxel pode em breve ser explorada na natureza, alertaram os pesquisadores do Rapid7, depois de publicar uma análise técnica e um script PoC que aciona a vulnerabilidade e atinge um shell raiz reverso.
Sobre o CVE-2023-28771
CVE-2023-28771 afeta:
- Firewalls Zyxel APT, USG FLEX e VPN executando as versões v4.60 a v5.35 do firmware ZDL, e
- Zyxel ZyWALL/USG gateways/firewalls executando ZLD v4.60 a v4.73
Esses dispositivos de firewall monitoram e controlam o tráfego de rede, têm recursos de inspeção VPN e SSL e oferecem proteção adicional contra malware e outras ameaças.
A vulnerabilidade surge do tratamento inadequado de mensagens de erro e pode ser acionada enviando um pacote UDP especialmente criado para a porta 500 na interface WAN de dispositivos vulneráveis, permitindo que os invasores alcancem a execução do comando do sistema operacional como usuário raiz.
“O componente vulnerável é o decodificador de pacotes Internet Key Exchange (IKE), que faz parte do serviço VPN IPSec oferecido pelo dispositivo”, disseram os pesquisadores do Rapid7, mas ressaltaram que uma VPN não precisa ser configurada no dispositivo para que o dispositivo fique vulnerável.
A vulnerabilidade é fácil de armar e a exploração bem-sucedida não depende de autenticação prévia.
“CVE-2023-28771 não é conhecido por ser explorado na natureza a partir de 19 de maio de 2023, embora esperemos que isso mude”, observaram os pesquisadores.
“Existem cerca de 42.000 instâncias de interfaces web do Zyxel expostas à internet pública. Isso não captura, no entanto, implementações de VPN vulneráveis, o que significa que a exposição real provavelmente é muito maior.”
O que você deve fazer?
Descoberta e relatada pelos pesquisadores da TRAPA Security, a vulnerabilidade foi corrigida pela Zyxel em abril de 2023, com o lançamento do ZLD v5.36 e do ZLD v4.73 Patch 1.
Os administradores de dispositivos vulneráveis são aconselhados a atualizar para a atualização de firmware mais recente o mais rápido possível. Habilitar atualizações automáticas de firmware também é geralmente uma boa ideia.
FONTE: HELPNET SECURITY