此文章仅供用于学习研究,严禁用于非法用途,否则后果自负。
CVE-2022-30525
漏洞简介
2022 年 5 月 12 日,Zyxel(合勤)发布安全公告,修复了其防火墙设备中未经身份验证的远程命令注入漏洞(CVE-2022-30525),该漏洞的CVSS评分为9.8。
该漏洞存在于某些Zyxel防火墙版本的 CGI 程序中,允许在未经身份验证的情况下在受影响设备上以nobody用户身份执行任意命令。
目前该漏洞的细节已经公开披露,且相应的Metasploit 模块已经发布,成功利用可以实现文件修改和操作系统命令执行,以获得对网络的初始访问权限并实现横向移动到内部系统。
漏洞影响
受影响的型号 | 受影响的固件版本 | 补丁版本 |
---|---|---|
USG FLEX 100(W)、200、500、700 | ZLD V5.00 -ZLD V5.21 Patch 1 | ZLD V5.30 |
USG FLEX 50(W) / USG20(W)-VPN | ZLD V5.10 - ZLD V5.21 Patch 1 | ZLD V5.30 |
ATP系列 |