BDU:2023-02782

Опубликовано: 24 апр. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость микропрограммного обеспечения сетевых устройств Zyxel ZyWALL/USG, VPN, USG FLEX, ATP существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды

Вендор

Zyxel Communications Corp.

Наименование ПО

ATP100

ATP100W

ATP200

ATP500

ATP700

ATP800

USG FLEX 100

USG FLEX 100W

USG FLEX 200

USG FLEX 50(W)

USG FLEX 500

USG FLEX 700

VPN100

VPN1000

VPN300

VPN50

USG 310

USG 110

USG FLEX 50

Версия ПО

от 4.60 до 5.36 (ATP100)

от 4.60 до 5.35 (ATP100W)

от 4.60 до 5.36 (ATP200)

от 4.60 до 5.36 (ATP500)

от 4.60 до 5.36 (ATP700)

от 4.60 до 5.36 (ATP800)

от 4.60 до 5.36 (USG FLEX 100)

от 4.60 до 5.36 (USG FLEX 100W)

от 4.60 до 5.36 (USG FLEX 200)

от 4.60 до 5.36 (USG FLEX 50(W))

от 4.60 до 5.36 (USG FLEX 500)

от 4.60 до 5.36 (USG FLEX 700)

от 4.60 до 5.36 (VPN100)

от 4.60 до 5.36 (VPN1000)

от 4.60 до 5.36 (VPN300)

от 4.60 до 5.36 (VPN50)

от 4.60 до 4.73 (USG 310)

от 4.60 до 4.73 (USG 110)

от 4.60 до 5.36 (USG FLEX 50)

Тип ПО

ПО сетевого программно-аппаратного средства

Сетевое средство

Микропрограммный код

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-28771
CVE

EPSS

Процентиль: 100%

0.94346

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-28771

CVSS3: 9.8

nvd

почти 3 года назад

Improper error message handling in Zyxel ZyWALL/USG series firmware versions 4.60 through 4.73, VPN series firmware versions 4.60 through 5.35, USG FLEX series firmware versions 4.60 through 5.35, and ATP series firmware versions 4.60 through 5.35, which could allow an unauthenticated attacker to execute some OS commands remotely by sending crafted packets to an affected device.

GHSA-3xvp-8qg2-x43w

CVSS3: 9.8

github

почти 3 года назад

EPSS

Процентиль: 100%

0.94346

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2