BDU:2022-04148

Опубликовано: 23 фев. 2022

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость интерфейса Common Gateway Interface (CGI) микропрограммного обеспечения сетевых устройств ZyXEL USG, ZyWALL, USG FLEX, ATP и VPN связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации путем выполнения специально созданного сценария

Вендор

Zyxel Communications Corp.

Наименование ПО

USG

ZyWALL

USG FLEX

ATP

VPN

Версия ПО

от 4.35 до 4.70 включительно (USG)

от 4.35 до 4.70 включительно (ZyWALL)

от 4.50 до 5.20 включительно (USG FLEX)

от 4.35 до 5.20 включительно (ATP)

от 4.35 до 5.20 включительно (VPN)

Тип ПО

ПО сетевого программно-аппаратного средства

Микропрограммный код

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.zyxel.com/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-0734
CVE

EPSS

Процентиль: 55%

0.00326

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2022-0734

CVSS3: 5.8

nvd

больше 3 лет назад

A cross-site scripting vulnerability was identified in the CGI program of Zyxel USG/ZyWALL series firmware versions 4.35 through 4.70, USG FLEX series firmware versions 4.50 through 5.20, ATP series firmware versions 4.35 through 5.20, and VPN series firmware versions 4.35 through 5.20, that could allow an attacker to obtain some information stored in the user's browser, such as cookies or session tokens, via a malicious script.

GHSA-3mfr-f8f8-px3w

CVSS3: 6.1

github