BDU:2022-04573

Опубликовано: 19 июл. 2022

Источник: fstec

CVSS3: 7.8

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость интерфейса командной строки (CLI) межсетевых экранов Zyxell USG FLEX, ATP и VPN связана с возможностью перезаписи файлов с произвольным содержимым. Эксплуатация уязвимости может позволить нарушителю выполнять произвольные команды с root-привилегиями

Вендор

Zyxel Communications Corp.

Наименование ПО

ATP

VPN

USG

ZyWALL

USG FLEX 50(W)

USG USG20(W)-VPN

USG FLEX 100W

USG FLEX 200

USG FLEX 500

USG FLEX 700

Версия ПО

от 4.32 до 5.31 (ATP)

от 4.30 до 5.31 (VPN)

от 4.09 до 4.72 (USG)

от 4.09 до 4.72 (ZyWALL)

от 4.16 до 5.31 (USG FLEX 50(W))

от 4.16 до 5.31 (USG USG20(W)-VPN)

от 4.50 до 5.31 (USG FLEX 100W)

от 4.50 до 5.31 (USG FLEX 200)

от 4.50 до 5.31 (USG FLEX 500)

от 4.50 до 5.31 (USG FLEX 700)

Тип ПО

ПО сетевого программно-аппаратного средства

Микропрограммный код

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничить доступ пользователей к каталогу /var/zyxel/crontab.

Использование рекомендаций производителя:

https://www.zyxel.com/support/Zyxel-security-advisory-authenticated-directory-traversal-vulnerabilities-of-firewalls.shtml

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-30526
CVE

EPSS

Процентиль: 84%

0.02141

Низкий

7.8 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2022-30526

CVSS3: 7.8

nvd

больше 3 лет назад

A privilege escalation vulnerability was identified in the CLI command of Zyxel USG FLEX 100(W) firmware versions 4.50 through 5.30, USG FLEX 200 firmware versions 4.50 through 5.30, USG FLEX 500 firmware versions 4.50 through 5.30, USG FLEX 700 firmware versions 4.50 through 5.30, USG FLEX 50(W) firmware versions 4.16 through 5.30, USG20(W)-VPN firmware versions 4.16 through 5.30, ATP series firmware versions 4.32 through 5.30, VPN series firmware versions 4.30 through 5.30, USG/ZyWALL series firmware versions 4.09 through 4.72, which could allow a local attacker to execute some OS commands with root privileges in some directories on a vulnerable device.

GHSA-8f7x-36qv-2prx

CVSS3: 7.8

github

больше 3 лет назад

EPSS

Процентиль: 84%

0.02141

Низкий

7.8 High

CVSS3

6.8 Medium

CVSS2