CVE-2023-28771

KritischVeröffentlicht

OS-Command-Injection-Sicherheitslücke in mehreren Zyxel-Firewalls

Veröffentlicht: 25.04.2023
Aktualisiert: 21.10.2025
CNA zuweisen: Zyxel
Beweise beobachtet: 31.05.2023

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

99,3 %

Hoch · nächste 30 Tage

Perzentil: 99,9 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

CISA bekanntermaßen ausgenutzt

Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.

Zusammenfassung

Fehlerhafte Behandlung von Fehlermeldungen in den Firmware-Versionen 4.60 bis 4.73 der Zyxel-ZyWALL/USG-Serie, 4.60 bis 5.35 der VPN-Serie, 4.60 bis 5.35 der USG-FLEX-Serie und 4.60 bis 5.35 der ATP-Serie, die es einem nicht authentifizierten Angreifer ermöglichen könnte, durch das Senden manipulierter Pakete an ein betroffenes Gerät aus der Ferne einige OS-Befehle auszuführen.

Quellen

CVE-2023-28771-PoCPoC
PoC für CVE-2023-28771 basierend auf dem hervorragenden Bericht von Rapid7

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.