【漏洞预警】Zyxel 防火墙命令注入漏洞

2022年5月19日20:03:52评论99 views字数 645阅读2分9秒阅读模式

1. 通告信息

近日，安识科技A-Team团队监测到一则Zyxel 防火墙命令注入漏洞，漏洞编号：CVE-2022-30525，漏洞威胁等级：严重。该漏洞存在于某些Zyxel防火墙版本的 CGI 程序中，允许在未经身份验证的情况下在受影响设备上以nobody用户身份执行任意命令。

2. 漏洞概述

CVE-2022-30525

简述：Zyxel USG FLEX 是中国 Zyxel 公司的一款防火墙，可以提供灵活的 VPN 选项，为远程工作和管理提供灵活的安全远程访问。

3. 漏洞危害

该漏洞存在于某些Zyxel防火墙版本的 CGI 程序中，允许在未经身份验证的情况下在受影响设备上以nobody用户身份执行任意命令。

4. 影响版本

5.00 ≤ Zyxel ≤ 5.21

5. 解决方案

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://www.zyxel.com/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml

6. 时间轴

【-】2022年5月18日安识科技A-Team团队监测到Zyxel 防火墙命令注入漏洞

【-】2022年5月18日安识科技A-Team团队根据漏洞信息分析

【-】2022年5月19日安识科技A-Team团队发布安全通告

原文始发于微信公众号（SecPulse安全脉搏）：【漏洞预警】Zyxel 防火墙命令注入漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。