CVE-2024-11667
Zyxel Multiple Firewalls Path Traversal Vulnerability
Beschreibung
CVE-2024-11667 ist eine Directory-Traversal-Schwachstelle im Web-Management-Interface mehrerer Zyxel-Firewall-Serien. Die Schwachstelle betrifft die ATP-Serie, USG FLEX-Serie, USG FLEX 50(W)-Serie und USG20(W)-VPN-Serie mit Firmware-Versionen V5.00 bis V5.38 bzw. V5.10 bis V5.38 und ermoeglicht es Angreifern, ueber manipulierte URLs Dateien hoch- oder herunterzuladen. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 34,19 % (96,9. Perzentil) stellt diese Schwachstelle eine erhebliche Bedrohung dar. Die CISA hat CVE-2024-11667 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Dezember 2024. Die Schwachstelle wird aktiv von Ransomware-Gruppen ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | zld | >= 5.00, <= 5.38; >= 5.10, <= 5.38 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CWE-22 beschreibt eine Schwachstellenklasse, bei der eine Anwendung externe Eingaben zur Konstruktion von Dateipfaden verwendet, ohne Pfad-Traversal-Sequenzen wie "../" ausreichend zu filtern. Im Fall von CVE-2024-11667 kann ein Angreifer ueber das Web-Management-Interface der Zyxel-Firewalls durch manipulierte URLs aus dem vorgesehenen Verzeichnis ausbrechen und auf beliebige Dateien des Dateisystems zugreifen. Dies ermoeglicht sowohl das Herunterladen vertraulicher Konfigurationsdaten als auch das Hochladen schaedlicher Dateien. Mehr erfahren
Auswirkungsanalyse
Zugriff auf vertrauliche Konfigurationsdaten: Die Schwachstelle ermoeglicht das Herunterladen beliebiger Dateien von der Firewall, einschliesslich Konfigurationsdateien mit Zugangsdaten, VPN-Zertifikaten und Netzwerkkonfigurationen. Vertraulichkeit (C:H) ist maximal betroffen, da ein Angreifer saemtliche auf der Firewall gespeicherten Informationen auslesen kann. Da keine Authentifizierung erforderlich ist (PR:N), kann jeder netzwerkbasierte Angreifer diese Daten exfiltrieren.
Strategische Position von Firewalls: Zyxel-Firewalls stehen typischerweise an der Netzwerkgrenze und schuetzen das gesamte interne Netzwerk. Eine Kompromittierung dieser Geraete gibt Angreifern nicht nur Zugang zu den Firewall-Konfigurationen, sondern potenziell auch zu VPN-Zugangsdaten und Netzwerktopologie-Informationen, die fuer weitere Angriffe auf das interne Netzwerk genutzt werden koennen.
EPSS und Ransomware: Der EPSS-Score von 34,19 % (96,9. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Die CISA klassifiziert die Ransomware-Nutzung als Known, was bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv als initialen Zugangspunkt in Unternehmensnetzwerke nutzen. Die Kombination aus exponierten Firewalls und der Moeglichkeit, Zugangsdaten zu extrahieren, macht dies zu einem idealen Einstiegspunkt fuer Ransomware-Angriffe.
Exploit-Reifegrad
CVE-2024-11667 weist eine hohe Exploit-Reife auf. Die Schwachstelle wird aktiv in freier Wildbahn ausgenutzt, was durch die Aufnahme in den KEV-Katalog der CISA mit der Frist zum 24. Dezember 2024 bestaetigt wird.
EPSS-Kontext: Mit einem EPSS-Score von 34,19 % (96,9. Perzentil) liegt CVE-2024-11667 im oberen Bereich der am wahrscheinlichsten ausgenutzten Schwachstellen. Die Ausnutzbarkeit ueber das Netzwerk ohne Authentifizierung macht die Schwachstelle fuer automatisierte Scans attraktiv.
Ransomware-Verbindung: Die CISA klassifiziert die Ransomware-Nutzung als Known. Ransomware-Gruppen nutzen Zyxel-Firewall-Schwachstellen gezielt als initialen Zugangspunkt, da exponierte Web-Management-Interfaces einfach zu identifizieren und die extrahierten VPN-Zugangsdaten fuer laterale Bewegung im Netzwerk verwendbar sind.
Oeffentliche Dokumentation: Zyxel hat ein Security Advisory veroeffentlicht, das die betroffenen Produkte und Firmware-Versionen detailliert auflistet und Patches bereitstellt.
Behebung
- Firmware sofort aktualisieren: Aktualisieren Sie alle betroffenen Zyxel-Firewalls auf eine Firmware-Version nach V5.38. Folgen Sie den Anweisungen im Zyxel Security Advisory fuer die korrekte Update-Prozedur fuer Ihre spezifische Firewall-Serie.
- Web-Management-Interface absichern: Deaktivieren Sie den Zugriff auf das Web-Management-Interface ueber das WAN/Internet. Falls Remote-Management erforderlich ist, beschraenken Sie den Zugriff auf vertrauenswuerdige IP-Adressen und aktivieren Sie Zwei-Faktor-Authentifizierung.
- Zugangsdaten und Zertifikate aendern: Da die Schwachstelle den Download von Konfigurationsdateien ermoeglicht, muessen alle Zugangsdaten der Firewall, VPN-Zertifikate und Pre-Shared-Keys als kompromittiert betrachtet und umgehend geaendert werden.
- Netzwerk auf Kompromittierung pruefen: Ueberpruefen Sie die Firewall-Protokolle auf verdaechtige Zugriffe auf das Web-Management-Interface. Pruefen Sie das interne Netzwerk auf Anzeichen einer lateralen Bewegung, die auf die Nutzung exfiltrierter VPN-Zugangsdaten hindeuten koennte.
- Netzwerksegmentierung ueberpruefen: Stellen Sie sicher, dass Management-Interfaces von Netzwerkgeraeten in einem separaten Management-VLAN isoliert sind und nicht direkt aus dem Internet erreichbar sind.
Technische Details
Die Schwachstelle liegt im Web-Management-Interface der betroffenen Zyxel-Firewall-Serien. Eine unzureichende Validierung von URL-Pfaden ermoeglicht es Angreifern, durch Pfad-Traversal-Sequenzen in manipulierten URLs aus dem vorgesehenen Web-Verzeichnis auszubrechen und auf beliebige Dateien des Firewall-Dateisystems zuzugreifen.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U). Nur die Vertraulichkeit ist maximal betroffen (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht direkt beeintraechtigt werden. Dies deutet darauf hin, dass die primaere Auswirkung im Auslesen vertraulicher Daten liegt.
Angriffsmechanismus: Ein Angreifer sendet HTTP-Anfragen an das Web-Management-Interface der Zyxel-Firewall mit manipulierten URL-Pfaden, die Pfad-Traversal-Sequenzen wie "../" enthalten. Da die Firewall-Software die URL-Pfade nicht ausreichend auf solche Sequenzen prueft, kann der Angreifer Dateien ausserhalb des vorgesehenen Web-Verzeichnisses lesen oder schreiben. Besonders kritisch ist der Zugriff auf Konfigurationsdateien, die Klartext-Zugangsdaten, VPN-Konfigurationen und Zertifikate enthalten koennen. Die betroffenen Firmware-Versionen V5.00 bis V5.38 bzw. V5.10 bis V5.38 umfassen alle gaengigen Deployments der genannten Firewall-Serien.
Häufig gestellte Fragen
Welche Zyxel-Firewall-Serien sind betroffen?
Betroffen sind die ATP-Serie (V5.00-V5.38), USG FLEX-Serie (V5.00-V5.38), USG FLEX 50(W)-Serie (V5.10-V5.38) und USG20(W)-VPN-Serie (V5.10-V5.38). Diese Modelle werden haeufig in kleinen und mittelstaendischen Unternehmen als Perimeter-Firewall eingesetzt.
Warum ist eine Directory-Traversal-Schwachstelle in einer Firewall besonders gefaehrlich?
Firewalls stehen an der Netzwerkgrenze und enthalten hochsensible Konfigurationsdaten wie VPN-Zugangsdaten, Netzwerktopologien und Firewall-Regeln. Eine Kompromittierung der Firewall gibt Angreifern einen privilegierten Blick auf das gesamte Netzwerk und die Moeglichkeit, weitere Angriffe zu planen.
Wird CVE-2024-11667 von Ransomware-Gruppen ausgenutzt?
Ja, die CISA stuft die Ransomware-Nutzung als Known ein. Firewall-Schwachstellen sind ein bevorzugter Angriffsvektor fuer Ransomware-Gruppen, da sie als initialer Zugangspunkt in Unternehmensnetzwerke dienen und die extrahierten VPN-Zugangsdaten fuer weitere Angriffe genutzt werden koennen.
Ist meine Firewall betroffen, wenn das Web-Management nur intern erreichbar ist?
Das Risiko ist deutlich geringer, aber nicht null. Ein interner Angreifer oder ein bereits kompromittiertes System im Netzwerk koennte die Schwachstelle dennoch ausnutzen. Aktualisieren Sie die Firmware unabhaengig von der Erreichbarkeit des Management-Interfaces.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.