Zyxel資安公告:針對防火牆系統命令注入漏洞 (Command Injection)
CVE 編號: CVE-2022-30525
摘要
針對Rapid 7近期發現之防火牆系統命令注入漏洞,Zyxel已經發佈最新修補程式,建議用戶立即更新韌體,以獲得最佳保護。
事件說明
Zyxel發現有部份防火牆版本的 CGI 程式,存在命令注入漏洞,讓攻擊者能夠修改特定檔案,並在受影響的設備上執行系統命令。
受影響的版本及預防措施
經過詳細調查,我們已針對下列仍在保固及支援期內受影響的設備及韌體,發布了最新修補程式,以提供用戶最佳防護。
受影響的產品系列 | 受影響的韌體版本 | 修補程式版本 |
---|---|---|
USG FLEX 100(W), 200, 500, 700 | ZLD V5.00 至 ZLD V5.21 Patch 1 | ZLD V5.30 |
USG FLEX 50(W) / USG20(W)-VPN | ZLD V5.10 至 ZLD V5.21 Patch 1 | ZLD V5.30 |
ATP 系列 | ZLD V5.10 至 ZLD V5.21 Patch 1 | ZLD V5.30 |
VPN 系列 | ZLD V4.60 至 ZLD V5.21 Patch 1 | ZLD V5.30 |
您的幫助對於遏制這種惡意行為至關重要,如果您對網路安全有任何問題或疑慮,請聯繫Zyxel經銷商、Zyxel技術團隊(0800-500-550),或至官方中文論壇,我們將為您提供進一步協助與説明。
特此感謝以下研究人員,主動向我們回報此問題:
感謝 Rapid7 向我們通報CVE-2022-30525 問題。但由於在與Rapid7披露協調的過程中對於揭露定義認知有所不同,Zyxel身為CNA成員,遵守規定並秉持誠信披露原則,主動向大眾媒體公開此項漏洞公告。
修訂記錄
2022-05-12:初始版本