CVE-2023-33009
Zyxel Multiple Firewalls Buffer Overflow Vulnerability
Beschreibung
CVE-2023-33009 ist eine kritische Buffer-Overflow-Schwachstelle in der Benachrichtigungsfunktion (Notification Function) mehrerer Zyxel-Firewall-Produkte, darunter die Serien ATP, USG FLEX, VPN und ZyWALL/USG. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, Denial-of-Service-Zustände auszulösen oder beliebigen Code auf betroffenen Zyxel-Geräten auszuführen (Remote Code Execution). Der Fehler betrifft Firmware-Versionen 4.60 bis 5.36 Patch 1 über mehrere Zyxel-Produktlinien hinweg und stellt damit ein weitreichendes Sicherheitsrisiko für Unternehmen dar, die Zyxel-Netzwerk-Sicherheitsgeräte einsetzen. Die CISA hat CVE-2023-33009 mit einer Behebungsfrist bis zum 26. Juni 2023 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und damit bestätigt, dass diese Zyxel-Buffer-Overflow-Schwachstelle aktiv ausgenutzt wird. Mit einem EPSS-Score von 6,17 % (90. Perzentil) ist die Ausnutzungsaktivität signifikant und Organisationen sollten die Behebung priorisieren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | atp100 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | atp200 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | atp500 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | atp100w firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | atp700 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | atp800 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 100 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 50 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 200 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 500 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 700 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 100w firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg flex 50w firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg 20w-vpn firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | vpn100 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | vpn50 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | vpn300 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | vpn1000 firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg20-vpn firmware | >= 4.60, < 5.36; 5.36 |
| zyxel | usg 40 firmware | >= 4.60, < 4.73; 4.73 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-120: Pufferkopie ohne Überprüfung der Eingabegröße (Klassischer Buffer Overflow)
Der klassische Buffer Overflow in Zyxel-Firewall-Produkten tritt in der Benachrichtigungsfunktion auf, bei der Eingabedaten in einen Puffer fester Größe kopiert werden, ohne die Eingabegröße angemessen zu validieren. Im Kontext von CVE-2023-33009 kann ein Angreifer speziell gestaltete Anfragen an die Benachrichtigungsfunktion senden, die den zugewiesenen Puffer überlaufen lassen, angrenzenden Speicher beschädigen und potenziell Remote Code Execution auf dem betroffenen Zyxel-Gerät ermöglichen.
Mehr erfahren: CWE-120 — Pufferkopie ohne Überprüfung der Eingabegröße
Auswirkungsanalyse
CVE-2023-33009 wird mit einem CVSS v3.1 Score von 9,8 (Critical) bewertet, was die maximale Schwerestufe für diese Zyxel-Buffer-Overflow-Schwachstelle widerspiegelt. Die Schwachstelle ist ohne physischen Zugang über das Netzwerk ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion und ist mit geringer Komplexität ausnutzbar. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung kann sensible Konfigurationsdaten, VPN-Zugangsdaten, Firewall-Regeln und interne Netzwerkinformationen offenlegen, die auf dem Zyxel-Gerät gespeichert sind. Integrität (Hoch): Ein Angreifer, der Remote Code Execution erreicht, kann Firewall-Regeln ändern, Sicherheitsrichtlinien deaktivieren, Backdoor-Konten erstellen und Gerätekonfigurationen manipulieren, um weitere Angriffe auf das interne Netzwerk zu ermöglichen. Verfügbarkeit (Hoch): Der Buffer Overflow kann den Zyxel-Firewall-Dienst zum Absturz bringen oder das Gerät vollständig funktionsunfähig machen, wodurch die Netzwerkverbindung und der Sicherheitsschutz für den gesamten Datenverkehr über das Gerät unterbrochen werden. Mit einem EPSS-Score von 6,17 % im 90. Perzentil ist die Ausnutzungsaktivität bestätigt und Organisationen mit betroffener Zyxel-Firmware sollten dies als hochprioritäres Sicherheitsereignis behandeln.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2023-33009 bestätigt, indem sie die Schwachstelle mit einer Behebungsfrist bis zum 26. Juni 2023 in den KEV-Katalog aufgenommen hat; eine Ransomware-Assoziation ist derzeit nicht bekannt. Der EPSS-Score von 6,17 % (90. Perzentil) weist auf bedeutsame Ausnutzungsaktivität hin und platziert diese Schwachstelle unter den aktiver ausgenutzten Sicherheitslücken. Obwohl in den verfügbaren Referenzen kein als "Exploit" gekennzeichneter öffentlicher Exploit-Code erscheint, belegt der von der CISA bestätigte Status der aktiven Ausnutzung, dass funktionsfähige Exploits von Bedrohungsakteuren gegen Zyxel-Firewall-Installationen eingesetzt werden. Organisationen mit betroffenen Zyxel-Firmware-Versionen sollten angesichts der bestätigten Ausnutzung in freier Wildbahn sofort handeln.
Behebung
-
Zyxel-Firmware-Patches sofort einspielen gemäß CISA-Empfehlung: Alle betroffenen Zyxel-Geräte auf Firmware-Versionen nach 5.36 Patch 1 für ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN und VPN-Serie sowie nach 4.73 Patch 1 für die ZyWALL/USG-Serie aktualisieren. Das Zyxel Security Advisory für die spezifischen gepatchten Firmware-Versionen konsultieren.
-
Zugriff auf Management-Interface einschränken, indem der Remote-Management-Zugriff von der WAN-Seite deaktiviert und der administrative Zugriff auf vertrauenswürdige interne IP-Adressen beschränkt wird. Zugriffskontrolllisten (ACLs) auf dem Zyxel-Gerät konfigurieren, um nicht vertrauenswürdige Quellen vom Erreichen des Benachrichtigungsfunktions-Endpunkts zu blockieren.
-
Netzwerksegmentierung implementieren, indem Zyxel-Firewalls nach Möglichkeit hinter einer zusätzlichen Perimeter-Sicherheitsschicht platziert werden. Eine Web Application Firewall oder ein Intrusion Prevention System vor dem Zyxel-Gerät einsetzen, das Buffer-Overflow-Ausnutzungsversuche gegen die Benachrichtigungsfunktion erkennen und blockieren kann.
-
Geräteprotokolle auf Kompromittierungsindikatoren prüfen auf allen betroffenen Zyxel-Geräten. Nach ungewöhnlichen Absturzberichten, unerwarteten Neustarts, nicht autorisierten Konfigurationsänderungen oder anomalen Netzwerkverkehrsmustern suchen. Alle administrativen Zugangsdaten und VPN-Benutzerpasswörter als Vorsichtsmaßnahme zurücksetzen.
-
Automatische Firmware-Update-Benachrichtigungen aktivieren auf Zyxel-Geräten und einen regelmäßigen Patch-Management-Zyklus für Netzwerk-Sicherheitsgeräte einrichten. Eingabevalidierung und Größenprüfungsmechanismen durch verfügbare Gerätehärtungsoptionen implementieren, um die Exposition gegenüber zukünftigen Buffer-Overflow-Schwachstellen zu reduzieren.
Technische Details
CVE-2023-33009 ist eine klassische Buffer-Overflow-Schwachstelle (CWE-120) in der Benachrichtigungsfunktion der Zyxel-Firewall-Firmware. Die Schwachstelle entsteht, weil die Benachrichtigungsfunktion Eingabedaten in einen Puffer fester Größe kopiert, ohne die Größe der Eingabe ordnungsgemäß zu validieren, wodurch ein Angreifer über die Puffergrenzen hinaus schreiben und angrenzenden Speicher beschädigen kann. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Der Angriff ist über das Netzwerk mit geringer Komplexität zugänglich, erfordert keine Authentifizierung oder Benutzerinteraktion und beeinträchtigt alle drei Sicherheitseigenschaften auf höchster Stufe. Ausnutzungsmechanismus: Der Buffer Overflow in der Benachrichtigungsfunktion kann durch das Senden manipulierter Anfragen an das betroffene Zyxel-Gerät ausgelöst werden. Die fehlende Grenzenprüfung ermöglicht es einem nicht authentifizierten Angreifer, Rücksprungadressen oder Funktionszeiger auf dem Stack oder Heap zu überschreiben und den Ausführungsfluss zu angreiferkontrolliertem Code umzuleiten. Versionsbetroffenheit: Diese Schwachstelle betrifft die Firmware über mehrere Zyxel-Produktlinien hinweg (ATP, USG FLEX, VPN, ZyWALL/USG-Serie), da diese den gleichen verwundbaren Benachrichtigungsfunktions-Codebestand teilen.
Häufig gestellte Fragen
Wird CVE-2023-33009 aktiv ausgenutzt?
Ja, CVE-2023-33009 wird aktiv in freier Wildbahn ausgenutzt. Die CISA hat die aktive Ausnutzung bestätigt, indem sie diese Schwachstelle mit einer Behebungsfrist bis zum 26. Juni 2023 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 6,17 % (90. Perzentil) weist auf signifikante Ausnutzungsaktivität gegen betroffene Zyxel-Firewall-Produkte hin.
Welche Produkte sind von CVE-2023-33009 betroffen?
CVE-2023-33009 betrifft eine Vielzahl von Zyxel-Firewall-Produkten, darunter die ATP-Serie (ATP100, ATP200, ATP500, ATP700, ATP800), USG FLEX-Serie (50, 100, 200, 500, 700), USG FLEX 50(W), USG20(W)-VPN, VPN-Serie (VPN50, VPN100, VPN300, VPN1000) und ZyWALL/USG-Serie (USG 40). Betroffene Firmware-Versionen reichen von 4.60 bis 5.36 Patch 1 für die meisten Produkte und von 4.60 bis 4.73 Patch 1 für ZyWALL/USG.
Wie behebe ich CVE-2023-33009?
Aktualisieren Sie die Firmware auf allen betroffenen Zyxel-Geräten auf Versionen nach 5.36 Patch 1 (bzw. nach 4.73 Patch 1 für ZyWALL/USG). Konsultieren Sie das offizielle Zyxel Security Advisory für die spezifischen gepatchten Firmware-Versionen je Produktlinie. Als Sofortmaßnahme den WAN-seitigen Management-Zugriff einschränken und die Konnektivität auf vertrauenswürdige IP-Adressen beschränken.
Wie schwerwiegend ist CVE-2023-33009?
CVE-2023-33009 wird mit einem CVSS v3.1 Score von 9,8 von 10 als Critical eingestuft. Die Schwachstelle erfordert keine Authentifizierung und keine Benutzerinteraktion und kann aus der Ferne mit geringer Komplexität ausgenutzt werden. Sie liegt im 90. Perzentil der Ausnutzungswahrscheinlichkeit und die CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.