Através de uma atualização de firmware, a Zyxel corrigiu um bug crítico que afeta seus dispositivos de firewall e VPN.
A empresa de equipamentos de rede Zyxel atualizou o firmware de vários de seus produtos de firewall e VPN de nível empresarial para resolver uma vulnerabilidade de gravidade crítica que poderia dar aos invasores acesso de nível de administrador aos dispositivos afetados.
Zyxel corrigiu um bug crítico que afeta seus dispositivos de firewall e VPN
O aviso de segurança da Zyxel refere-se a produtos das séries USG/ZyWALL, USG FLEX, ATP, VPN e NSG (Nebula Security Gateway).
A vulnerabilidade é rastreada como CVE-2022-0342 e é bastante séria, permitindo que um invasor a explore sem autenticação para obter acesso administrativo ao dispositivo.
O Instituto Nacional de Padrões e Tecnologia (NIST) ainda não forneceu uma classificação de gravidade, mas a avaliação de Zyxel dá uma pontuação de 9,8 de um máximo de 10.
Segundo a Zyxel
“Uma vulnerabilidade de desvio de autenticação causada pela falta de um mecanismo de controle de acesso adequado foi encontrada no programa CGI de algumas versões de firewall. A falha pode permitir que um invasor ignore a autenticação e obtenha acesso administrativo do dispositivo.”
A vulnerabilidade está presente no firmware dos seguintes produtos Zyxel que ainda são suportados pelo fabricante:
- Versões de firmware da série USG/ZyWALL 4.20 a 4.70
- Versões de firmware da série USG FLEX 4.50 a 5.20
- Versões de firmware da série ATP 4.32 a 5.20
- Versões de firmware da série VPN 4.30 a 5.20
- Versões de firmware da série NSG V1.20 a V1.33 Patch 4
Para os produtos da série NSG, o fabricante de hardware de rede lançou atualmente um hotfix e planeja lançar um patch padrão em maio de 2022.
Os dispositivos de hardware acima são normalmente usados em ambientes de pequeno ou médio porte para combinar o acesso à rede, seja local ou remoto, com componentes de segurança que podem proteger contra atividades maliciosas por meio de malware ou phishing.
Os créditos por descobrir e relatar o CVE-2022-0342 são Alessandro Sgreccia da Tecnical Service Srl, e Roberto Garcia H e Victor Garcia R da Innotec Security.
A Zyxel está aconselhando seus clientes a instalar as atualizações de firmware “para proteção ideal”. No momento, não há relatos públicos de que o CVE-2022-0342 esteja sendo explorado em ataques.
A Zyxel está aconselhando seus clientes a instalar as atualizações de firmware “para proteção ideal”. No momento, não há relatos públicos de que o CVE-2022-0342 esteja sendo explorado em ataques.