Trusted Design

解説:

CVE-2022-30525に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-30525は、Zyxel製ファイアウォール製品のCGIプログラムにおけるOSコマンドインジェクションの脆弱性です。 認証されていないリモート攻撃者が、特定のファイルを変更し、脆弱なデバイス上で任意のOSコマンドを実行できる可能性があります。 この脆弱性は、Zero Touch Provisioning (ZTP) 機能に関連する「/ztp/cgi-bin/handler」URIを介して悪用され、「setWanPortSt」コマンドへの非サニタイズ入力が原因で発生します。

1.1 影響

認証されていない攻撃者は、影響を受けるZyxelファイアウォール上で任意のOSコマンドを実行し、完全なシステム侵害を達成する可能性があります。 攻撃者は「nobody」ユーザーとして任意のコード実行が可能となり、機密情報の窃取、ランサムウェアのインストール、または内部ネットワークへの侵入に繋がる恐れがあります。

1.2 深刻度

この脆弱性のCVSSv3.1ベーススコアは9.8であり、「緊急（CRITICAL）」と評価されています。 また、CISAのKnown Exploited Vulnerabilities (KEV) カタログにも追加されており、実環境での活発な悪用が確認されています。

2. 対象となる環境

Zyxelの複数のファイアウォール製品ラインが影響を受けます。

2.1 影響を受けるOSバージョン

以下のZyxel製品のファームウェアバージョンが影響を受けます。

• USG FLEX 100(W), 200, 500, 700: ZLD V5.00 から ZLD V5.21 Patch 1 まで
• USG FLEX 50(W) / USG20(W)-VPN: ZLD V5.10 から ZLD V5.21 Patch 1 まで
• ATPシリーズ: ZLD V5.10 から ZLD V5.21 Patch 1 まで
• VPNシリーズ: ZLD V4.60 から ZLD V5.21 Patch 1 まで

2.2 影響を受ける設定

この脆弱性は、ZyxelファイアウォールのWeb管理インターフェース内のCGIプログラムに存在します。そのため、管理インターフェースがインターネットに公開されている場合に特に影響を受ける可能性が高くなります。

3. 影響を受けた時の兆候

影響を受けた場合の兆候としては、以下が挙げられます。

• システムログの監査において、URI「/ztp/cgi-bin/handler」へのHTTP POSTアクティビティがないかを確認する。
• ただし、ペイロードがPOSTボディにある場合、ほとんどのミドルウェアではログに記録されない可能性があるため、注意が必要です。
• 攻撃者が「nobody」ユーザーとしてリバースシェルを確立している可能性があります。

4. 推奨対策

4.1 本対策

Zyxelが提供するセキュリティパッチを適用し、ファームウェアを最新バージョンにアップデートしてください。 修正済みのファームウェアバージョンは以下の通りです。

• USG FLEX 100(W), 200, 500, 700: ZLD V5.30以降
• USG FLEX 50(W) / USG20(W)-VPN: ZLD V5.30以降
• ATPシリーズ: ZLD V5.30以降
• VPNシリーズ: ZLD V5.30以降

4.2 暫定回避策（緩和策）

• 理想的には、管理用Webインターフェースをインターネットに公開しない（WANからのアクセスを無効にする）ことが推奨されます。
• もしWANからのアクセスを無効にできない場合は、厳格なIP許可リストを設定し、アクセスを制限することを検討してください。
• 製品が自動更新をサポートしている場合、この機能を有効にすることが推奨されます（ただし、デフォルトで有効になっていない場合があるため確認が必要です）。

その他に解説すべき観点

• 発見と開示の経緯: この脆弱性はRapid7社の研究者によって発見され、2022年4月にZyxelに報告されました。ZyxelはRapid7との調整なしに2022年4月28日にパッチをリリースし、2022年5月12日にCVE-2022-30525として公開したため、「サイレントパッチ」の問題が指摘されました。
• 悪用状況: この脆弱性に対するMetasploitモジュールや概念実証（PoC）エクスプロイトコードが公開されています。
• 曝露状況: Shodanの検索によると、約16,500台のZyxelファイアウォールおよびVPNデバイスがインターネットに公開されており、この脆弱性の影響を受ける可能性があります。

参照したサイト

• CVE-2022-30525: Zyxel USG FLEX RCE Vulnerability - SentinelOne
• NVD-CVE-2022-30525 - NIST
• Zyxel security advisory for OS command injection vulnerability of firewalls | Zyxel Networks
• CVE-2022-30525 (FIXED): Zyxel Firewall Unauthenticated Remote Command Injection | Rapid7 Blog
• Customer Advisory | Critical Vulnerability in Zyxel Firewalls and VPNs Actively Exploited
• GitHub - ProngedFork/CVE-2022-30525: CVE-2022-30525 POC
• Zyxel Firewall Unauthenticated remote command injection (CVE-2022-30525) - 꼰머의 보안공부 - 티스토리
• cve-2022-30525 exp Zyxel USG FLEX命令注入漏洞 - 雨苁ℒ
• CVE-2022-30525：Zyxel防火墙未授权远程命令执行漏洞-腾讯云开发者社区-腾讯云
• CVE-2022-30525 Zyxel firewalls ztp 远程命令执行漏洞复现 - Zgao's blog
• ZyXEL Firewall - Unauthenticated Remote Command Injection (CVE-2022-30525) - Vulnerability & Exploit Database - Pentest-Tools.com
• Zyxel USG FLEX 5.21 - OS Command Injection - Exploit-DB
• CVE-2022-30525 Zyxel 防火墙命令注入漏洞 - GitHub
• GitHub - jbaines-r7/victorian_machinery: Proof of concept exploit for CVE-2022-30525 (Zxyel firewall command injection)
• Hackers are exploiting critical bug in Zyxel firewalls and VPNs - Bleeping Computer
• Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘