CVE-2020-9054

요약

펌웨어 버전 5.21을 실행하는 여러 ZyXEL 네트워크 연결 스토리지(NAS) 장치에는 사전 인증 명령 주입 취약점이 존재하며, 이로 인해 원격의 인증되지 않은 공격자가 취약한 장치에서 임의 코드를 실행할 수 있습니다. ZyXEL NAS 장치는 weblogin.cgi CGI 실행 파일을 사용하여 인증을 수행합니다. 이 프로그램은 전달되는 username 매개변수를 제대로 검증하지 못합니다. username 매개변수에 특정 문자가 포함되면 ZyXEL 장치에서 실행되는 웹 서버의 권한으로 명령 주입이 허용될 수 있습니다. 웹 서버는 root 사용자로 실행되지 않지만, ZyXEL 장치에는 root 권한으로 모든 명령을 실행하는 데 활용할 수 있는 setuid 유틸리티가 포함되어 있습니다. 따라서 이 취약점을 악용하면 root 권한으로 원격 코드 실행으로 이어질 수 있다고 가정해야 합니다. 취약한 ZyXEL 장치에 특수하게 제작된 HTTP POST 또는 GET 요청을 전송함으로써, 원격의 인증되지 않은 공격자가 장치에서 임의 코드를 실행할 수 있습니다. 이는 장치가 공격자에게 직접 노출된 경우 장치에 직접 연결하여 발생할 수 있습니다. 그러나 공격자가 취약한 장치에 직접 연결할 수 없는 경우에도 이러한 제작된 요청을 트리거할 수 있는 방법이 있습니다. 예를 들어, 단순히 웹사이트를 방문하는 것만으로도 클라이언트 시스템에서 연결 가능한 모든 ZyXEL 장치가 손상될 수 있습니다. 영향을 받는 제품은 다음과 같습니다: 펌웨어 V5.21(AAZF.7)C0 이전의 NAS326, 펌웨어 V5.21(AASZ.3)C0 이전의 NAS520, 펌웨어 V5.21(AATB.4)C0 이전의 NAS540, 펌웨어 V5.21(ABAG.4)C0 이전의 NAS542. ZyXEL은 NAS326, NAS520, NAS540 및 NAS542 장치에 대한 펌웨어 업데이트를 제공했습니다. 지원이 종료된 영향 모델: NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 및 NSA325v2

• CVE-2020-9054PoC

  CVE-2020-9054를 대상으로 하는 Zyxel 장치용 개념 증명 익스플로잇. 웹 관리 인터페이스에 대한 조작된 HTTP 요청을 통해 원격 코드 실행을 시연합니다.