CVE-2020-9054

概要

複数のZyXELネットワーク接続ストレージ（NAS）デバイスで、ファームウェアバージョン5.21を実行しているものに、事前認証コマンドインジェクションの脆弱性が存在します。これにより、リモートの未認証攻撃者が、影響を受けるデバイス上で任意のコードを実行できる可能性があります。ZyXEL NASデバイスは、weblogin.cgi CGI実行ファイルを使用して認証を実現しています。このプログラムは、渡されたusernameパラメータを適切にサニタイズできません。usernameパラメータに特定の文字が含まれている場合、ZyXELデバイス上で実行されているWebサーバーの権限でコマンドインジェクションが可能になります。Webサーバーはrootユーザーとしては実行されませんが、ZyXELデバイスには、root権限で任意のコマンドを実行するために悪用できるsetuidユーティリティが含まれています。そのため、この脆弱性の悪用は、root権限でのリモートコード実行につながる可能性があると想定すべきです。特別に細工されたHTTP POSTまたはGETリクエストを脆弱なZyXELデバイスに送信することで、リモートの未認証攻撃者がデバイス上で任意のコードを実行できる可能性があります。これは、デバイスが攻撃者に直接公開されている場合に、デバイスへ直接接続することで発生する可能性があります。しかし、攻撃者が影響を受けるデバイスへの直接接続を持たない場合でも、そのような細工されたリクエストをトリガーする方法があります。例えば、単にウェブサイトを訪問するだけで、クライアントシステムから到達可能な任意のZyXELデバイスが侵害される結果につながる可能性があります。影響を受ける製品は以下のとおりです： NAS326（ファームウェアV5.21(AAZF.7)C0より前） NAS520（ファームウェアV5.21(AASZ.3)C0より前） NAS540（ファームウェアV5.21(AATB.4)C0より前） NAS542（ファームウェアV5.21(ABAG.4)C0より前） ZyXELは、NAS326、NAS520、NAS540、およびNAS542デバイス向けのファームウェアアップデートを提供しています。サポート終了となった影響を受けるモデル：NSA210、NSA220、NSA220+、NSA221、NSA310、NSA310S、NSA320、NSA320S、NSA325およびNSA325v2

• CVE-2020-9054PoC

  Zyxelデバイスを標的としたCVE-2020-9054の概念実証エクスプロイト。Web管理インターフェースへの巧妙なHTTPリクエストによるリモートコード実行を示します。