BDU:2023-08856

Опубликовано: 24 апр. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения сетевых устройств ZyXEL USG, USG FLEX, ATP и VPN связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные сценарии на уязвимом устройстве

Вендор

Zyxel Communications Corp.

Наименование ПО

ATP200

ATP100

ATP700

ATP500

ATP100W

ATP800

USG FLEX 100

USG FLEX 50

USG FLEX 200

USG FLEX 500

USG FLEX 700

USG FLEX 100W

USG FLEX 50(W)

USG FLEX 20(W)

USG 20-VPN

USG 100-VPN

VPN1000

VPN300

VPN50

Версия ПО

от 4.32 до 5.36 (ATP200)

от 4.32 до 5.36 (ATP100)

от 4.32 до 5.36 (ATP700)

от 4.32 до 5.36 (ATP500)

от 4.32 до 5.36 (ATP100W)

от 4.32 до 5.36 (ATP800)

от 4.50 до 5.36 (USG FLEX 100)

от 4.50 до 5.36 (USG FLEX 50)

от 4.50 до 5.36 (USG FLEX 200)

от 4.50 до 5.36 (USG FLEX 500)

от 4.50 до 5.36 (USG FLEX 700)

от 4.50 до 5.36 (USG FLEX 100W)

от 4.16 до 5.36 (USG FLEX 50(W))

от 4.16 до 5.36 (USG FLEX 20(W))

от 4.30 до 5.36 (USG 20-VPN)

от 4.30 до 5.36 (USG 100-VPN)

от 4.30 до 5.36 (VPN1000)

от 4.30 до 5.36 (VPN300)

от 4.30 до 5.36 (VPN50)

Тип ПО

ПО сетевого программно-аппаратного средства

Сетевое средство

Микропрограммный код

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-xss-vulnerability-and-post-authentication-command-injection-vulnerability-in-firewalls

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-xss-vulnerability-and-post-authentication-command-injection-vulnerability-in-firewalls

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-27991
CVE

EPSS

Процентиль: 76%

0.00971

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2023-27991

CVSS3: 8.8

nvd

почти 3 года назад

The post-authentication command injection vulnerability in the CLI command of Zyxel ATP series firmware versions 4.32 through 5.35, USG FLEX series firmware versions 4.50 through 5.35, USG FLEX 50(W) firmware versions 4.16 through 5.35, USG20(W)-VPN firmware versions 4.16 through 5.35, and VPN series firmware versions 4.30 through 5.35, which could allow an authenticated attacker to execute some OS commands remotely.

GHSA-2j4f-52m8-xq9h

CVSS3: 8.8

github

почти 3 года назад

EPSS

Процентиль: 76%

0.00971

Низкий

8.8 High

CVSS3

9 Critical

CVSS2