furkanzengin/cve-2022-30525Eine OS-Befehlseinschleusungssicherheitslücke im CGI-Programm von Zyxel
Eine OS-Befehlseinschleusungsschwachstelle im CGI-Programm von Zyxel
Die am 13. April 2022 erstmals entdeckte Schwachstelle verursachte eine entfernte Codeausführung in Zyxel-Firewall-Produkten. Diese wichtige Schwachstelle mit einem CVSS-Score von 9,8 wurde mit dem 15 Tage nach ihrem Auftreten von Zyxel veröffentlichten Update behoben. Mindestens 20.800 Modelle waren in diesem Prozess betroffen, hauptsächlich in Europa. Die Schwachstelle ist auf den Befehl "setWanPortSt" innerhalb des Zero-Touch-Provisioning-Applets zurückzuführen. Der Zugriff auf den Befehl "setWanPortSt" erfolgt über den Endpunkt /ztp/cgi-bin/handler. Seit Zyxel ein Update für ihr Modell zur Behebung der Schwachstelle bereitgestellt hat, wurden keine Exploits beobachtet. Die Softwareversion der betroffenen Modelle wurde auf v5.30 aktualisiert, und es wurde betont, dass das automatische Software-Update aktiv sein sollte, um die Schwachstelle zu verhindern.
Am 13. April 2022 meldete Rapid7 eine Schwachstelle, die Zyxel-Firewall-Geräte betrifft und Angreifern ermöglicht, ohne Authentifizierung als "nobody"-Benutzer beliebige Befehle aus der Ferne einzuschleusen. Diese Schwachstelle wurde als kritisch eingestuft und der CVSS-Score auf 9,8 festgelegt. Zyxel behob die Schwachstelle anschließend am 28. April 2022 mit einem Sicherheitsupdate. Am 12. Mai 2022 veröffentlichte Rapid7 einen Advisory und ein Metasploit-Modul für diese Schwachstelle.
Forscher von ShadowServer begannen, Versuche zur Ausnutzung von CVE-2022-30525 zu überwachen. Bei den Untersuchungen wurden mindestens 20.800 der betroffenen Zyxel-Firewall-Modelle online exponiert. Es wurde festgestellt, dass die meisten betroffenen Modelle in Frankreich und Italien waren.
Die Schwachstelle beruht auf der Verwendung von „os.system“ mit vom Angreifer bereitgestellten Daten. Der Endpunkt /ztp/cgi-bin/handler wird verwendet, um den Angriff zu starten. Handler ist ein Python-Skript, das eine Reihe verschiedener Befehle ausführen kann. Jake Baines, der den Fehler zuerst meldete, erklärte die Schwachstelle in seinem Blog wie folgt: „Rapid7 entdeckte und meldete eine Schwachstelle, die Zyxel-Firewalls betrifft, die Zero Touch Provisioning (ZTP) unterstützen, darunter die ATP-Serie, die VPN-Serie und die USG-FLEX-Serie (einschließlich USG20-VPN und USG20W-VPN). Die als CVE-2022-30525 identifizierte Schwachstelle ermöglicht es einem nicht authentifizierten und entfernten Angreifer, eine beliebige Codeausführung als nobody-Benutzer auf dem betroffenen Gerät zu erreichen.“ Das Problem entsteht durch einen Befehl namens "setWanPortSt" innerhalb der Zero-Touch-Provisioning-Implementierung, der es der Remote-Provisionierung ermöglicht, die IP-Einstellungen der Firewall-Ports zu ändern.
Es wurde ein PoC veröffentlicht, um besser zu verstehen, wie die Ausnutzung erfolgt. Victorian Machinery ist ein Proof-of-Concept-Exploit für CVE-2022-30525. Die Schwachstelle ist eine nicht authentifizierte und entfernte Befehlseinschleusungsschwachstelle, die Zyxel-Firewalls betrifft, die Zero Touch Provisioning unterstützen.
Zunächst wird das Ziel mit einem Netcat-Listener ausgenutzt und eine Reverse-Shell abgefangen. Standardmäßig wird „nc“ durch Angabe von „nc-path“ ausgeführt. In Python wird mit dem „os.fork()“-Vorgang eine Kopie des Hauptprozesses erstellt. Wenn die Prozess-ID 0 ist, wird dann eine POST-Anfrage an die angegebene URL-Adresse gesendet. Die URL enthält nacheinander das Protokoll, die entfernte Adresse zur Ausnutzung, den entfernten Port und den Endpunkt „/ztp/cgi-bin/handler“. Dank dieses Endpunkts /ztp/cgi-bin/handler kann auf die Funktion im Befehl „setWanPortSt“ zugegriffen werden, die das Ändern der IP-Einstellungen der Firewall-Ports ermöglicht. Bei der Untersuchung der Payload zeigt sich, dass das Ziel des Befehls Port 1270 des DHCP-Protokolls ist. Auf diese Weise können Angreifer eine Remotecodeausführung als nobody ermöglichen.
Die Shadowserver Foundation, die Gruppe, die den weltweiten Exploit untersucht, gab keine weiteren Informationen über die beobachteten Ausnutzungsversuche und deren Merkmale preis. Es wurde bekannt gegeben, dass seit Montag, dem 16. Mai 2022, keine Missbrauchsversuche mehr festgestellt wurden, die Untersuchungen jedoch fortgesetzt werden.
Administratoren betroffener Geräte wird empfohlen, die Firmware so schnell wie möglich auf V5.30 zu aktualisieren. Jake Baines riet auch, automatische Firmware-Updates nach Möglichkeit zu aktivieren. Zyxel wurde dafür kritisiert, die Schwachstelle stillschweigend behandelt zu haben, aber in der Stellungnahme wurde erklärt, dass dies auf „Missverständnisse während des Offenlegungs-Koordinationsprozesses“ zurückzuführen sei. Internen Mitarbeitern wurde mitgeteilt, dass die Erstellung einer neuen „HTTP-Protokoll-Signaturen“-Richtlinie durch das Erstellen eines Wörterbuchs für die manuelle Minderung die Ausnutzung verhindern kann.
Zusammenfassend lässt sich sagen, dass diese Schwachstelle, die in Zyxel-Firewall-Produkten auftrat, viele Modelle auf einem kritischen Niveau betraf. Obwohl das Problem in kurzer Zeit behoben wurde, waren die Auswirkungen des Exploits recht groß. Die Tatsache, dass seit längerer Zeit keine Exploits gefunden wurden, zeigt, dass die Updates die Sicherheitslücke vorerst schließen können.
