Trusted DesignCVE-2023-27992 の詳細
CVEの情報
説明:
The pre-authentication command injection vulnerability in the Zyxel NAS326 firmware versions prior to V5.21(AAZF.14)C0, NAS540 firmware versions prior to V5.21(AATB.11)C0, and NAS542 firmware versions prior to V5.21(ABAG.11)C0 could allow an unauthenticated attacker to execute some operating system (OS) commands remotely by sending a crafted HTTP request.
CVE更新日: 2023-06-19 12:15:09.433000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2023-06-23
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.828280000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2023-27992に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2023-27992は、Zyxel社製NAS製品に存在する認証前のコマンドインジェクションの脆弱性です。この脆弱性は、Zyxel NASデバイスのWeb管理インターフェースにおける入力検証とサニタイズの不備に起因します。攻撃者は、特別に細工されたHTTPリクエストを送信することで、認証なしにリモートで任意のOSコマンドを実行することが可能となります。
1.1 影響
この脆弱性が悪用された場合、認証されていないリモートの攻撃者が、NASデバイス上で任意のOSコマンドを実行する可能性があります。これにより、システムに対する完全な制御権が奪われる恐れがあり、個人情報（SPI）、個人識別情報（PII）、顧客データなどの機密データの窃取、さらには他のシステムへの二次攻撃やDDoS攻撃の踏み台として利用される危険性があります。
1.2 深刻度
本脆弱性は、共通脆弱性評価システム（CVSS）v3.1のベーススコアで「9.8」と評価されており、最も高い「緊急（Critical）」に分類されています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（KEV）カタログにも追加されており、活発な悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
以下のZyxel NASデバイスのファームウェアバージョンが影響を受けます。
2.2 影響を受ける設定
本脆弱性は、Zyxel NASデバイスのWeb管理インターフェースに存在します。特に、インターネットに公開されているデバイスは危険性が高いとされています。
3. 影響を受けた時の兆候
本脆弱性に関する具体的な侵入の痕跡（IoC）は、公開情報では詳細に記述されていません。しかし、CISAのKEVカタログに登録されていることから、既に活発な悪用が確認されていることを示しています。 不審なHTTPリクエストのログや、NASデバイス上での予期せぬコマンド実行、異常なネットワーク通信などが兆候として挙げられる可能性がありますが、詳細は不明です。
4. 推奨対策
4.1 本対策
影響を受けるZyxel NASデバイスのファームウェアを、速やかに最新の修正済みバージョンにアップデートすることが強く推奨されます。
4.2 暫定回避策（緩和策）
Zyxel社のアドバイザリでは、本脆弱性に対する具体的な暫定回避策や緩和策は提供されておらず、速やかにパッチを適用することを推奨しています。
参照したサイト