CVE-2020-9054
Zyxel Multiple NAS Devices OS Command Injection Vulnerability
Beschreibung
CVE-2020-9054 ist eine kritische OS-Command-Injection-Schwachstelle in mehreren Zyxel-NAS-Geräten (Network Attached Storage), die es entfernten, nicht authentifizierten Angreifern ermöglicht, beliebige Betriebssystembefehle über die weblogin.cgi-Komponente auszuführen. Die Schwachstelle resultiert aus einer fehlenden Eingabevalidierung des Benutzernamenparameters bei der Authentifizierung und ermöglicht somit Remote Code Execution (RCE) ohne vorherige Anmeldung. Die CISA hat CVE-2020-9054 in den KEV-Katalog aufgenommen, und die Schwachstelle wird nachweislich in Ransomware-Kampagnen ausgenutzt. Mit einem EPSS-Score von 94,3 % (99,9. Perzentile) stellt CVE-2020-9054 eine unmittelbare Bedrohung für alle Organisationen dar, die verwundbare Zyxel-NAS-Geräte betreiben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | nas326 firmware | < 5.21\(aazf.7\)c0 |
| zyxel | nas520 firmware | < 5.21\(aasz.3\)c0 |
| zyxel | nas540 firmware | < 5.21\(aatb.4\)c0 |
| zyxel | nas542 firmware | < 5.21\(abag.4\)c0 |
| zyxel | atp100 firmware | >= 4.35, < 4.35\(abps.3\)c0 |
| zyxel | atp200 firmware | >= 4.35, < 4.35\(abfw.3\)c0 |
| zyxel | atp500 firmware | >= 4.35, < 4.35\(abfu.3\)c0 |
| zyxel | atp800 firmware | >= 4.35, < 4.35\(abiq.3\)c0 |
| zyxel | usg20-vpn firmware | >= 4.35, < 4.35\(abaq.3\)c0 |
| zyxel | usg20w-vpn firmware | >= 4.35, < 4.35\(abar.3\)c0 |
| zyxel | usg40 firmware | >= 4.35, < 4.35\(aala.3\)c0 |
| zyxel | usg40w firmware | >= 4.35, < 4.35\(aalb.3\)c0 |
| zyxel | usg60 firmware | >= 4.35, < 4.35\(aaky.3\)c0 |
| zyxel | usg60w firmware | >= 4.35, < 4.35\(aakz.3\)c0 |
| zyxel | usg110 firmware | >= 4.35, < 4.35\(aaph.3\)c0 |
| zyxel | usg210 firmware | >= 4.35, < 4.35\(aapi.3\)c0 |
| zyxel | usg310 firmware | >= 4.35, < 4.35\(aapj.3\)c0 |
| zyxel | usg1100 firmware | >= 4.35, < 4.35\(aapk.3\)c0 |
| zyxel | usg1900 firmware | >= 4.35, < 4.35\(aapl.3\)c0 |
| zyxel | usg2200 firmware | >= 4.35, < 4.35\(abae.3\)c0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://cwe.mitre.org/data/definitions/78.html(Third Party Advisory)
- https://kb.cert.org/artifacts/cve-2020-9054.html(Third Party Advisory, US Government Resource)
- https://kb.cert.org/vuls/id/498544/(Third Party Advisory, US Government Resource)
- https://krebsonsecurity.com/2020/02/zyxel-fixes-0day-in-network-storage-devices/(Exploit, Third Party Advisory)
- https://www.zyxel.com/support/remote-code-execution-vulnerability-of-NAS-products.shtml(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-9054(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
CWE-78 beschreibt eine Schwachstelle, bei der Software Betriebssystembefehle unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Sonderzeichen ordnungsgemäß zu neutralisieren. Bei CVE-2020-9054 versagt die weblogin.cgi-Komponente auf Zyxel-NAS-Geräten bei der Bereinigung des Benutzernamenparameters, wodurch ein Angreifer beliebige Betriebssystembefehle einschleusen kann, die mit Root-Rechten auf dem Gerät ausgeführt werden.
Weitere Informationen: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2020-9054 ist ohne Authentifizierung und ohne Benutzerinteraktion aus der Ferne ausnutzbar, was eine automatisierte Ausnutzung durch Botnetze und Angriffswerkzeuge trivial macht. Die Schwachstelle gewährt Angreifern vollständige Kontrolle über das betroffene Zyxel-NAS-Gerät, einschließlich der Möglichkeit, sämtliche gespeicherte Daten zu lesen, zu verändern oder zu löschen, persistente Backdoors zu installieren und das kompromittierte Gerät als Ausgangspunkt für laterale Bewegungen im internen Netzwerk zu nutzen. Da NAS-Geräte typischerweise sensible Geschäfts- und Personendaten speichern, kann eine erfolgreiche Ausnutzung zu katastrophalen Datenverletzungen und zur Ransomware-Verschlüsselung kritischer Backup-Infrastruktur führen. Die bestätigte Verwendung in Ransomware-Kampagnen und der EPSS-Score von 94,3 % (99,9. Perzentile) verdeutlichen die breite und aktive Ausnutzung dieser Schwachstelle.
Exploit-Reifegrad
CVE-2020-9054 wird aktiv in der freien Wildbahn ausgenutzt und ist von der CISA als Ransomware-Angriffsvektor bestätigt. Das Emotet-Botnetz und weitere Bedrohungsakteure wurden dokumentiert, wie sie diese Schwachstelle zur Kompromittierung von Zyxel-NAS-Geräten für Ransomware-Einsatz und Kryptomining-Operationen nutzen. Öffentlicher Exploit-Code ist weit verbreitet, und der EPSS-Score von 94,3 % (99,9. Perzentile) spiegelt eine nahezu sichere Ausnutzungswahrscheinlichkeit wider.
Behebung
- Firmware-Update anwenden: Aktualisieren Sie die Firmware Ihres Zyxel-NAS-Geräts umgehend gemäß den Herstelleranweisungen. Für Geräte, die das End-of-Life erreicht haben und keine Updates mehr erhalten, empfiehlt Zyxel die Trennung vom Internet und den Austausch durch ein unterstütztes Modell.
- Netzwerkzugang einschränken: Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Zugriff auf die NAS-Weboberfläche durch Firewall-Regeln und blockieren Sie den externen Zugriff auf die Ports 80 und 443 des NAS-Geräts.
- Dateiintegrität prüfen: Überprüfen Sie alle auf betroffenen Zyxel-NAS-Geräten gespeicherten Dateien auf Anzeichen von Manipulation, Verschlüsselung oder unbefugtem Zugriff, insbesondere wenn das Gerät vor dem Patchen aus dem Internet erreichbar war.
- Zugangsdaten ändern: Ändern Sie alle auf dem NAS-Gerät gespeicherten oder von dort zugänglichen Anmeldedaten, da Angreifer mit Root-Zugriff gespeicherte Passwörter und Authentifizierungstoken abgegriffen haben könnten.
- Netzwerksegmentierung implementieren: Isolieren Sie NAS- und Speichergeräte vom allgemeinen Netzwerkverkehr und setzen Sie Monitoring ein, um anomale Befehlsausführung oder ausgehende Verbindungen von der Speicherinfrastruktur zu erkennen.
Technische Details
CVE-2020-9054 nutzt eine OS-Command-Injection-Schwachstelle (CWE-78) im weblogin.cgi-Skript auf Zyxel-NAS-Geräten aus. Die Schwachstelle besteht, weil der bei der Authentifizierung übermittelte Benutzernamenparameter direkt in einen Systembefehl eingefügt wird, ohne Shell-Metazeichen ordnungsgemäß zu bereinigen oder zu escapen. Ein Angreifer kann beliebige Befehle einschleusen, indem er Shell-Metazeichen wie Semikolons oder Backticks in das Benutzernamenfeld einfügt, die dann mit Root-Rechten auf dem zugrundeliegenden Linux-Betriebssystem ausgeführt werden. Der Angriff erfordert lediglich eine einzelne manipulierte HTTP-POST-Anfrage an den weblogin.cgi-Endpunkt. Mehrere Zyxel-NAS-Modelle sind betroffen, darunter die Produktlinien NAS326, NAS520, NAS540 und NAS542.
Häufig gestellte Fragen
Wird CVE-2020-9054 aktiv ausgenutzt?
Ja, CVE-2020-9054 wird aktiv in der freien Wildbahn ausgenutzt und ist im CISA-KEV-Katalog gelistet. Die Schwachstelle ist als Ransomware-Angriffsvektor bestätigt, und Bedrohungsakteure einschließlich des Emotet-Botnetzes nutzen diese Schwachstelle zur Kompromittierung von Zyxel-NAS-Geräten. Der EPSS-Score von 94,3 % (99,9. Perzentile) bestätigt die extrem hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2020-9054 betroffen?
CVE-2020-9054 betrifft mehrere Zyxel-NAS-Modelle (Network Attached Storage), darunter die Produktlinien NAS326, NAS520, NAS540 und NAS542 mit Firmware-Versionen vor dem Sicherheitspatch. Jedes Zyxel-NAS-Gerät mit der verwundbaren weblogin.cgi-Komponente, das über das Netzwerk erreichbar ist, ist gefährdet.
Wie behebe ich CVE-2020-9054?
Wenden Sie das neueste Firmware-Update von Zyxel für Ihr NAS-Modell an. Für End-of-Life-Geräte, die keine Updates mehr erhalten, empfiehlt Zyxel die Trennung vom Internet. Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Zugriff auf die NAS-Verwaltungsoberfläche auf vertrauenswürdige IP-Adressen.
Wie schwerwiegend ist CVE-2020-9054?
CVE-2020-9054 wird als CRITICAL eingestuft und ermöglicht nicht authentifizierte Remote Code Execution mit Root-Rechten. Der EPSS-Score von 94,3 % (99,9. Perzentile) zeigt eine nahezu sichere Ausnutzung an, und die Schwachstelle ist ein bestätigter Ransomware-Angriffsvektor. Organisationen sollten dies als Notfall behandeln, der sofortige Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.