CVE-2022-30525
Zyxel Multiple Firewalls OS Command Injection Vulnerability
Beschreibung
CVE-2022-30525 ist eine Command-Injection-Schwachstelle im CGI-Programm bestimmter Zyxel-Firewall-Versionen, die es einem nicht authentifizierten Angreifer ermöglicht, bestimmte Dateien zu ändern und Betriebssystembefehle auf dem verwundbaren Gerät auszuführen. Diese Schwachstelle betrifft mehrere Zyxel-Firewall-Modelle und ermöglicht Remote-Code-Ausführung über die Web-Management-Oberfläche der Firewall. CISA hat die aktive Ausnutzung bestätigt und CVE-2022-30525 in den Known Exploited Vulnerabilities Katalog aufgenommen. Mit einem EPSS-Perzentil von 99,99 % gehört diese Schwachstelle zu den am aktivsten ausgenutzten Netzwerkgerät-Schwachstellen und stellt eine kritische Bedrohung für Organisationen dar, die betroffene Zyxel-Firewalls als Netzwerkperimeter-Sicherheit einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | usg flex 100w firmware | >= 5.00, < 5.30 |
| zyxel | usg flex 200 firmware | >= 5.00, < 5.30 |
| zyxel | usg flex 500 firmware | >= 5.00, <= 5.30 |
| zyxel | usg flex 700 firmware | >= 5.00, < 5.30 |
| zyxel | vpn100 firmware | >= 4.60, < 5.30 |
| zyxel | vpn1000 firmware | >= 4.60, < 5.30 |
| zyxel | vpn300 firmware | >= 4.60, < 5.30 |
| zyxel | vpn50 firmware | >= 4.60, < 5.30 |
| zyxel | atp100 firmware | >= 5.10, < 5.30 |
| zyxel | atp100w firmware | >= 5.10, < 5.30 |
| zyxel | atp200 firmware | >= 5.10, < 5.30 |
| zyxel | atp500 firmware | >= 5.10, < 5.30 |
| zyxel | atp700 firmware | >= 5.10, < 5.30 |
| zyxel | atp800 firmware | >= 5.10, < 5.30 |
| zyxel | usg flex 50w firmware | >= 5.10, < 5.30 |
| zyxel | usg20w-vpn firmware | >= 5.10, < 5.30 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/167176/Zyxel-Remote-Command-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167182/Zyxel-Firewall-ZTP-Unauthenticated-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167372/Zyxel-USG-FLEX-5.21-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/168202/Zyxel-Firewall-SUID-Binary-Privilege-Escalation.html(Exploit, Third Party Advisory)
- https://www.zyxel.com/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-30525(US Government Resource)
Schwachstellentyp
CWE-78: Unzureichende Neutralisierung spezieller Elemente in OS-Befehlen (OS Command Injection)
CWE-78 beschreibt eine Schwachstelle, bei der ein Produkt Betriebssystembefehle unter Verwendung extern beeinflusster Eingaben konstruiert, ohne spezielle Elemente ordnungsgemäß zu neutralisieren. Bei CVE-2022-30525 versagt das CGI-Programm der Zyxel-Firewall bei der Bereinigung von Benutzereingaben, bevor sie an System-Shell-Befehle weitergegeben werden, was einem Angreifer die Einschleusung beliebiger OS-Befehle ermöglicht.
Weitere Informationen: CWE-78 — Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
Auswirkungsanalyse
CVE-2022-30525 ist eine Command-Injection-Schwachstelle in Zyxel-Firewalls, die nicht authentifizierte Remote-Code-Ausführung über die Web-Management-Oberfläche des Geräts ermöglicht. Die Schwachstelle ist ohne jegliche Authentifizierung vom Netzwerk aus ausnutzbar, was sie für jeden Angreifer trivial zugänglich macht, der die Management-Oberfläche der Firewall erreichen kann. Eine erfolgreiche Ausnutzung gewährt dem Angreifer die Fähigkeit, beliebige Betriebssystembefehle auf der Firewall auszuführen, die in den meisten Bereitstellungen als Netzwerkperimeter-Sicherheitsgerät fungiert. Dies bedeutet, dass ein Angreifer, der die Firewall kompromittiert, den gesamten durch sie hindurchgehenden Netzwerkverkehr abfangen und ändern, Sicherheitsregeln deaktivieren, VPN-Tunnel für persistenten Zugang erstellen und in das interne Netzwerk pivotieren kann. Das EPSS-Perzentil von 99,99 % — unter den höchstmöglichen — bestätigt, dass diese Schwachstelle mit nahezu absoluter Sicherheit ausgenutzt wird.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-30525 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 6. Juni 2022 aufgenommen. Das EPSS-Perzentil von 99,99 % platziert diese Schwachstelle an der absoluten Spitze der Ausnutzungswahrscheinlichkeit und bestätigt massive reale Ausnutzung. Öffentlicher Exploit-Code wurde rasch nach der Offenlegung verfügbar, und Massen-Scanning- und Ausnutzungskampagnen gegen internetexponierte Zyxel-Firewalls weltweit wurden beobachtet. Mehrere Sicherheitsfirmen dokumentierten aktive Ausnutzung sowohl durch opportunistische Angreifer als auch durch fortgeschrittene Bedrohungsgruppen. Die unkomplizierte Natur der Command Injection — die nur eine einzige HTTP-Anfrage an die Management-Oberfläche erfordert — macht die Ausnutzung trivial einfach.
Behebung
- Aktualisieren Sie alle betroffenen Zyxel-Firewalls auf die Firmware-Versionen, die den Fix für CVE-2022-30525 enthalten, wie in Zyxels Sicherheitsempfehlung angegeben. CISA verlangt eine Behebung bis zum 6. Juni 2022.
- Beschränken Sie umgehend den Zugriff auf die Web-Management-Oberfläche der Firewall auf vertrauenswürdige administrative IP-Adressen. Exponieren Sie die Management-Oberfläche niemals im öffentlichen Internet.
- Falls Firmware-Updates nicht sofort eingespielt werden können, deaktivieren Sie die Web-Management-Oberfläche vollständig und verwenden Sie alternative Verwaltungsmethoden (SSH, Konsole) bis das Update installiert werden kann.
- Überprüfen Sie Firewall-Protokolle auf Anzeichen von Ausnutzung, einschließlich unerwarteter Befehlsausführung, nicht autorisierter Konfigurationsänderungen oder ungewöhnlicher ausgehender Verbindungen.
- Bei Verdacht auf Kompromittierung behandeln Sie die Firewall als vollständig kompromittiert — setzen Sie sie auf Werkseinstellungen zurück, spielen Sie die gepatchte Firmware ein und rotieren Sie alle Anmeldedaten einschließlich VPN-Pre-Shared-Keys und administrativer Passwörter.
Technische Details
CVE-2022-30525 ist eine OS-Command-Injection-Schwachstelle im CGI-Programm mehrerer Zyxel-Firewall-Modelle. Die Schwachstelle besteht, weil vom Benutzer gelieferte Eingaben, die über HTTP-Anfragen an die Web-Management-Oberfläche der Firewall empfangen werden, direkt an Betriebssystem-Shell-Befehle weitergegeben werden, ohne ordnungsgemäße Bereinigung oder Escaping spezieller Zeichen. Der CGI-Handler konstruiert Systembefehle durch Verkettung von Benutzereingaben in Shell-Befehlszeichenketten, die dann über system() oder ähnliche Shell-Aufruffunktionen ausgeführt werden. Ein Angreifer kann Shell-Metazeichen in die Eingabeparameter einschleusen, um beliebige OS-Befehle anzuhängen, die mit den Privilegien des Webserver-Prozesses ausgeführt werden — der auf Zyxel-Firewalls typischerweise als root läuft. Die betroffenen Firewall-Modelle umfassen ATP-, USG-FLEX-, USG-FLEX-50(W)-, USG20(W)-VPN- und VPN-Seriengeräte.
Häufig gestellte Fragen
Wird CVE-2022-30525 aktiv ausgenutzt?
Ja, CVE-2022-30525 wird massenhaft ausgenutzt. CISA hat die Schwachstelle in den KEV-Katalog mit einer dringenden Behebungsfrist aufgenommen, und das EPSS-Perzentil von 99,99 % platziert sie unter den am häufigsten ausgenutzten Schwachstellen überhaupt. Massen-Scanning-Kampagnen gegen internetexponierte Zyxel-Firewalls sind breit dokumentiert.
Welche Produkte sind von CVE-2022-30525 betroffen?
CVE-2022-30525 betrifft mehrere Zyxel-Firewall-Modelle einschließlich ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN und VPN-Seriengeräte. Konsultieren Sie Zyxels Sicherheitsempfehlung für die spezifischen verwundbaren Firmware-Versionen.
Wie behebe ich CVE-2022-30525?
Aktualisieren Sie alle betroffenen Zyxel-Firewalls auf die gepatchten Firmware-Versionen. Beschränken Sie den Management-Interface-Zugang sofort auf vertrauenswürdige IPs. Überprüfen Sie Protokolle auf Anzeichen vorheriger Ausnutzung und rotieren Sie alle Anmeldedaten bei Verdacht auf Kompromittierung.
Wie schwerwiegend ist CVE-2022-30525?
CVE-2022-30525 ist eine kritische Command-Injection-Schwachstelle mit einem EPSS-Perzentil von 99,99 %. Sie ermöglicht nicht authentifizierte Remote-Code-Ausführung auf Netzwerk-Firewalls, die die primäre Sicherheitsgrenze für die meisten Organisationen darstellen. Eine Kompromittierung der Firewall ermöglicht vollständige Netzwerkinfiltration.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.