Zyxel修復網絡存儲產品中的0day漏洞風險通告
發布時間 2020-02-27漏洞編號和級別
CVE編號：CVE-2020-9054，危險級別：嚴重，CVSS分值：廠商自評：10，官方未評定
影響版本
運行固件版本5.21及更低版本的NAS產品。
運行固件版本ZLD V4.35補丁0到ZLD V4.35補丁2的UTM、ATP和VPN防火墻。ZLD V4.35補丁0之前的固件版本不受影響
漏洞概述
網絡設備廠商Zyxel發布了多款網絡附屬存儲（NAS）設備的補丁，修復一個已遭到網絡犯罪分子利用的超危漏洞。
該漏洞編號為CVE-2020-9054，是一個無需身份認證即可利用的遠程代碼執行漏洞。該漏洞存在于weblogin.cgi文件中，源于CGI可執行文件未能妥當地過濾向其傳遞的username參數。
美國CERT/CC表示，如果用戶名中包含了特定字符，攻擊者可利用該漏洞以webserver的權限注入命令。接著，攻擊者可以利用設備上包含的一個setuid實用程序以root權限運行任意命令。
Zyxel在安全公告中解釋稱，運行5.21及之前版本固件的ZyxelNAS產品的weblogin.cgi程序中發現了一個遠程代碼執行漏洞。該程序缺少身份認證，攻擊者可利用漏洞通過注入OS命令遠程執行代碼。
遠程攻擊者可通過發送特制的HTTP POST或GET請求在脆弱的Zyxel設備上執行任意代碼。即使攻擊者沒有直接連接設備（如果設備沒有暴露在網絡中），但是受害者連接了惡意的網站，也可觸發該漏洞。
漏洞驗證
該漏洞的exploit在地下論壇出售已有一段時間，標價2萬美元。專門部署勒索軟件的團伙已經對該exploit表示興趣，Emotet團伙也打算將該exploit放到他們的惡意軟件中。
修復建議
Zyxel發布了四款脆弱的設備的補丁，也就是NAS326，NAS520，NAS540和NAS542，以及UTM、ATP和VPN防火墻的補丁，鏈接：https://www.zyxel.com/support/remote-code-execution-vulnerability-of-NAS-products.shtml。
另有10款NAS產品不再得到Zyxel支持，將不會收到補丁。這些產品包括
NSA210，NSA220，NSA220+，NSA221，NSA310，NSA310S，NSA320，NSA320S，NSA325和NSA325v2。
這些設備的緩解措施包括攔截對 web 接口（80/tcp 和 443/tcp）的訪問權限并確保該 NAS 未被暴露在互聯網上。如有可能，則將其連接到安全路由器或部署防火墻進行進一步防護。
參考鏈接
https://www.securityweek.com/zyxel-devices-can-be-hacked-dns-requests-hardcoded-credentials
京公網安備11010802024551號