Zyxel telah bergerak untuk mengatasi kerentanan keamanan kritis yang memengaruhi perangkat firewall Zyxel yang memungkinkan penyerang yang tidak diautentikasi dan jarak jauh untuk mendapatkan eksekusi kode arbitrer.
“Kerentanan injeksi perintah dalam program CGI dari beberapa versi firewall dapat memungkinkan penyerang untuk memodifikasi file tertentu dan kemudian menjalankan beberapa perintah OS pada perangkat yang rentan,” kata perusahaan itu dalam sebuah nasihat yang diterbitkan Kamis.
Perusahaan keamanan siber Rapid7, yang menemukan dan melaporkan kelemahan tersebut pada 13 April 2022, mengatakan bahwa kelemahan tersebut dapat memungkinkan musuh jarak jauh yang tidak diautentikasi untuk mengeksekusi kode sebagai pengguna “bukan siapa-siapa” pada peralatan yang terkena dampak.
Dilacak sebagai CVE-2022-30525 (skor CVSS: 9,8), cacat tersebut berdampak pada produk berikut, dengan patch dirilis dalam versi ZLD V5.30 –
- USG FLEX 100(W), 200, 500, 700
- USG FLEX 50(W) / USG20(W)-VPN
- seri ATP, dan
- seri VPN
Rapid 7 mencatat bahwa setidaknya ada 16.213 perangkat Zyxel yang rentan terpapar ke internet, menjadikannya vektor serangan yang menguntungkan bagi pelaku ancaman untuk melakukan upaya eksploitasi potensial.
Perusahaan keamanan siber juga menunjukkan bahwa Zyxel secara diam-diam mengeluarkan perbaikan untuk mengatasi masalah tersebut pada 28 April 2022 tanpa menerbitkan pengenal Common Vulnerabilities and Exposures (CVE) terkait atau penasihat keamanan. Zyxel, dalam peringatannya, menyalahkan ini pada “miskomunikasi selama proses koordinasi pengungkapan.”
“Penambalan kerentanan secara diam-diam cenderung hanya membantu penyerang aktif, dan membuat para pembela HAM tidak mengetahui risiko sebenarnya dari masalah yang baru ditemukan,” kata peneliti Rapid7 Jake Baines.
Nasihat datang ketika Zyxel menangani tiga masalah berbeda, termasuk injeksi perintah (CVE-2022-26413), buffer overflow (CVE-2022-26414), dan cacat eskalasi hak lokal (CVE-2022-0556), di VMG3312-nya -T20A router nirkabel dan AP Configurator yang dapat menyebabkan eksekusi kode arbitrer.