CVE-2023-33010
Zyxel Multiple Firewalls Buffer Overflow Vulnerability
Beschreibung
CVE-2023-33010 ist eine kritische Buffer-Overflow-Schwachstelle in der ID-Verarbeitungsfunktion (ID Processing Function) mehrerer Zyxel-Firewall-Produkte, darunter die Serien ATP, USG FLEX, VPN und ZyWALL/USG. Diese Sicherheitslücke ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, Denial-of-Service-Zustände auszulösen oder beliebigen Code auf betroffenen Zyxel-Geräten auszuführen. Die Schwachstelle betrifft eine breite Palette von Firmware-Versionen über die Zyxel-Produktlinien hinweg, wobei betroffene Versionen je nach Serie von 4.25 (bzw. 4.32/4.50) bis 5.36 Patch 1 reichen. Die CISA hat CVE-2023-33010 mit einer Behebungsfrist bis zum 26. Juni 2023 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 5,85 % im 90. Perzentil erfordert diese Zyxel-Buffer-Overflow-Schwachstelle eine umgehende Behebung auf allen betroffenen Installationen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | atp100 firmware | >= 4.32, < 5.36; 5.36 |
| zyxel | atp200 firmware | >= 4.32, < 5.36; 5.36 |
| zyxel | atp500 firmware | >= 4.32, < 5.36; 5.36 |
| zyxel | atp100w firmware | >= 4.32, < 5.36; 5.36 |
| zyxel | atp700 firmware | >= 4.32, < 5.36; 5.36 |
| zyxel | atp800 firmware | >= 4.32, < 5.36; 5.36 |
| zyxel | usg flex 100 firmware | >= 4.50, < 5.36; 5.36 |
| zyxel | usg flex 50 firmware | 5.36 |
| zyxel | usg flex 200 firmware | >= 4.50, < 5.36; 5.36 |
| zyxel | usg flex 500 firmware | >= 4.50, < 5.36; 5.36 |
| zyxel | usg flex 700 firmware | >= 4.50, < 5.36; 5.36 |
| zyxel | usg flex 100w firmware | 5.36 |
| zyxel | usg flex 50w firmware | >= 4.25, < 5.36; 5.36 |
| zyxel | usg 20w-vpn firmware | 5.36 |
| zyxel | vpn100 firmware | >= 4.30, < 5.36; 5.36 |
| zyxel | vpn50 firmware | >= 4.30, < 5.36; 5.36 |
| zyxel | vpn300 firmware | >= 4.30, < 5.36; 5.36 |
| zyxel | vpn1000 firmware | >= 4.30, < 5.36; 5.36 |
| zyxel | usg20-vpn firmware | >= 4.30, < 5.36; 5.36 |
| zyxel | usg 40 firmware | >= 4.25, < 4.73; 4.73 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-120: Pufferkopie ohne Überprüfung der Eingabegröße (Klassischer Buffer Overflow)
Der klassische Buffer Overflow in Zyxel-Firewall-Produkten tritt in der ID-Verarbeitungsfunktion auf, bei der Eingabedaten in einen Puffer kopiert werden, ohne die Eingabegröße ordnungsgemäß zu validieren. Im Kontext von CVE-2023-33010 kann ein Angreifer diese Schwachstelle ausnutzen, indem er manipulierte Daten an die ID-Verarbeitungsfunktion sendet, wodurch der Puffer überläuft und potenziell angrenzender Speicher überschrieben wird, was zu Denial-of-Service oder Remote Code Execution auf dem betroffenen Zyxel-Gerät führen kann.
Mehr erfahren: CWE-120 — Pufferkopie ohne Überprüfung der Eingabegröße
Auswirkungsanalyse
CVE-2023-33010 wird mit einem CVSS v3.1 Score von 9,8 (Critical) bewertet, was die maximale Schwereeinstufung für diese Zyxel-Buffer-Overflow-Schwachstelle darstellt. Die Schwachstelle ist ohne physischen Zugang über das Netzwerk ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion und ist mit geringer Komplexität ausnutzbar. Vertraulichkeit (Hoch): Eine erfolgreiche Ausnutzung kann sensible Daten offenlegen, die auf der Zyxel-Firewall gespeichert sind, darunter VPN-Zugangsdaten, Netzwerkkonfigurationen, Routing-Tabellen und interne Verkehrsprotokolle. Integrität (Hoch): Remote Code Execution ermöglicht es einem Angreifer, Firewall-Richtlinien zu ändern, bösartige Regeln einzuschleusen, nicht autorisierte administrative Konten zu erstellen und die gesamte Sicherheitsarchitektur des Netzwerkperimeters zu kompromittieren. Verfügbarkeit (Hoch): Der Buffer Overflow kann das Zyxel-Gerät zum Absturz bringen oder einem Angreifer ermöglichen, die Firewall funktionsunfähig zu machen, wodurch der gesamte Netzwerkverkehr und alle Sicherheitsfunktionen unterbrochen werden, die auf das Gerät angewiesen sind. Mit einem EPSS-Score von 5,85 % im 90. Perzentil ist die Ausnutzungsaktivität bestätigt und Organisationen sollten dies als Behebungsmaßnahme mit kritischer Priorität behandeln.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2023-33010 bestätigt, indem sie die Schwachstelle mit einer Behebungsfrist bis zum 26. Juni 2023 in den KEV-Katalog aufgenommen hat; eine Ransomware-Assoziation ist derzeit nicht bekannt. Der EPSS-Score von 5,85 % (90. Perzentil) weist auf bedeutsame Ausnutzungsaktivität gegen betroffene Zyxel-Geräte hin. Obwohl in den verfügbaren Referenzen kein als "Exploit" gekennzeichneter öffentlicher Exploit-Code erscheint, belegt der bestätigte Status der aktiven Ausnutzung, dass Bedrohungsakteure funktionierende Exploits gegen Zyxel-Firewall-Installationen entwickelt haben und einsetzen. Diese Schwachstelle wird häufig mit ihrer Geschwister-CVE CVE-2023-33009 (einem Buffer Overflow in der Benachrichtigungsfunktion) in Verbindung gebracht, und Organisationen sollten sicherstellen, dass beide Schwachstellen gleichzeitig gepatcht werden.
Behebung
-
Zyxel-Firmware-Patches sofort einspielen gemäß CISA-Empfehlung: Alle betroffenen Zyxel-Geräte auf Firmware-Versionen nach 5.36 Patch 1 für ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN und VPN-Serie sowie nach 4.73 Patch 1 für die ZyWALL/USG-Serie aktualisieren. Das Zyxel Security Advisory für die spezifischen gepatchten Firmware-Versionen je Produkt konsultieren.
-
Zugriff auf das Management-Interface einschränken, indem die Remote-Administration von der WAN-Seite deaktiviert und Zugriffskontrolllisten konfiguriert werden, die nur vertrauenswürdige interne IP-Adressen zulassen. Sicherstellen, dass der Endpunkt der ID-Verarbeitungsfunktion nicht von nicht vertrauenswürdigen Netzwerksegmenten aus erreichbar ist.
-
Netzwerkbasierte Schutzmaßnahmen einsetzen, indem ein Intrusion Prevention System oder eine zusätzliche Firewall vor betroffenen Zyxel-Geräten platziert wird, um Buffer-Overflow-Ausnutzungsversuche zu erkennen und zu blockieren. Rate Limiting und Deep Packet Inspection für den Datenverkehr zu Zyxel-Management-Interfaces implementieren.
-
Geräteprotokolle auswerten und auf Kompromittierungsindikatoren prüfen auf allen betroffenen Zyxel-Geräten. Nach unerwarteten Geräte-Neustarts, nicht autorisierten Konfigurationsänderungen, neuen administrativen Konten oder ungewöhnlichen ausgehenden Verbindungen suchen. Alle administrativen und VPN-Zugangsdaten als Vorsichtsmaßnahme zurücksetzen.
-
Einen dedizierten Patch-Management-Prozess für Netzwerk-Sicherheitsgeräte einrichten. Firmware-Update-Benachrichtigungen auf allen Zyxel-Geräten aktivieren und sicherstellen, dass sowohl CVE-2023-33010 als auch die verwandte CVE-2023-33009 gleichzeitig behoben werden. Netzwerkbasierte Eingabevalidierung und Zugriffskontrollen als Defense-in-Depth-Maßnahmen gegen zukünftige Buffer-Overflow-Schwachstellen implementieren.
Technische Details
CVE-2023-33010 ist eine klassische Buffer-Overflow-Schwachstelle (CWE-120) in der ID-Verarbeitungsfunktion der Zyxel-Firewall-Firmware. Die Schwachstelle entsteht, weil die ID-Verarbeitungsfunktion vom Benutzer gelieferte Eingaben in einen Puffer fester Größe kopiert, ohne die Länge der eingehenden Daten ordnungsgemäß zu prüfen, wodurch ein Angreifer angrenzende Speicherbereiche überschreiben kann. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Diese Schwachstelle ist über das Netzwerk mit geringer Komplexität zugänglich, erfordert keine Authentifizierung oder Benutzerinteraktion und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit auf höchster Stufe. Unterschied zu CVE-2023-33009: Der Buffer Overflow in der ID-Verarbeitungsfunktion unterscheidet sich von der verwandten CVE-2023-33009 (die die Benachrichtigungsfunktion betrifft), teilt jedoch die gleiche Grundursache der unzureichenden Eingabegrößenvalidierung. Ausnutzungsmechanismus: Durch das Senden speziell gestalteter Daten an die ID-Verarbeitungsfunktion kann ein nicht authentifizierter Angreifer Stack- oder Heap-Speicherstrukturen beschädigen, kritische Kontrolldaten wie Rücksprungadressen überschreiben und die Programmausführung umleiten, um Remote Code Execution mit den Privilegien des Firewall-Prozesses zu erreichen.
Häufig gestellte Fragen
Wird CVE-2023-33010 aktiv ausgenutzt?
Ja, CVE-2023-33010 wird aktiv in freier Wildbahn ausgenutzt. Die CISA hat die aktive Ausnutzung bestätigt, indem sie diese Schwachstelle mit einer Behebungsfrist bis zum 26. Juni 2023 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 5,85 % (90. Perzentil) weist zusätzlich auf signifikante Ausnutzungsaktivität gegen betroffene Zyxel-Firewall-Produkte hin.
Welche Produkte sind von CVE-2023-33010 betroffen?
CVE-2023-33010 betrifft die Zyxel ATP-Serie (ATP100, ATP200, ATP500, ATP700, ATP800), USG FLEX-Serie (50, 100, 200, 500, 700), USG FLEX 50(W), USG20(W)-VPN, VPN-Serie (VPN50, VPN100, VPN300, VPN1000) und ZyWALL/USG-Serie (USG 40). Betroffene Firmware-Versionen variieren je Produkt, reichen aber generell von Version 4.25-4.50 bis 5.36 Patch 1, wobei ZyWALL/USG bis 4.73 Patch 1 betroffen ist.
Wie behebe ich CVE-2023-33010?
Aktualisieren Sie die Firmware auf allen betroffenen Zyxel-Geräten auf Versionen nach 5.36 Patch 1 (bzw. nach 4.73 Patch 1 für ZyWALL/USG). Das offizielle Zyxel Security Advisory für die spezifischen gepatchten Firmware-Versionen je Produkt konsultieren. Zudem sicherstellen, dass die verwandte CVE-2023-33009 gleichzeitig gepatcht wird, und den WAN-seitigen Management-Zugriff als Sofortmaßnahme einschränken.
Wie schwerwiegend ist CVE-2023-33010?
CVE-2023-33010 wird mit einem CVSS v3.1 Score von 9,8 von 10 als Critical eingestuft. Die Schwachstelle erfordert keine Authentifizierung oder Benutzerinteraktion, kann aus der Ferne mit geringer Komplexität ausgenutzt werden und ermöglicht sowohl Denial-of-Service als auch Remote Code Execution. Der EPSS-Score platziert sie im 90. Perzentil der Ausnutzungswahrscheinlichkeit und bestätigt die aktive Ausnutzung durch Bedrohungsakteure.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.