CVE-2022-30525とは？Zyxel の複数のファイアウォールの脆弱性をわかりやすく解説

ひとことでZyxel のファイアウォールに、OS のコマンドを実行される弱点があります
深刻度9.8 緊急CVSS v3.1
まずやることファームウェアを ZLD V5.30 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2022-30525
製品	Zyxel Multiple Firewalls
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-16
米国政府機関の対応期限	2022-06-06
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

Zyxel の一部のファイアウォールで、CGI プログラムに OS コマンドインジェクションの弱点が見つかりました。悪用されると、特定のファイルを書き換えられ、機器の上で OS のコマンドを実行されるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、ログイン不要で、離れた場所からネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zyxel の公式情報によると、USG FLEX 100(W)、200、500、700 の ZLD V5.00 から ZLD V5.21 Patch 1、USG FLEX 50(W) と USG20(W)-VPN、ATP series の ZLD V5.10 から ZLD V5.21 Patch 1、VPN series の ZLD V4.60 から ZLD V5.21 Patch 1 が対象です。これらの機器を使っている組織が影響を受けます。

何をすればいい

Zyxel は、修正したファームウェア ZLD V5.30 を公開しています。対象の機器が ZLD V5.30 以降に更新されているか確認してください。あわせて Zyxel の公式の案内を確認してください。

やることチェックリスト

ファームウェアを ZLD V5.30 以降に更新する
対象の機種とファームウェアの版を調べる
更新後のファームウェアの版を確かめる

用語メモ

OS コマンドインジェクション用語集で見る: 入力の中に OS への命令をまぎれこませて、機器に実行させてしまう攻撃です。
CGI プログラム: Web の画面からの要求を受けて、機器の中で処理をするプログラムです。
ファームウェア用語集で見る: 機器を動かすために、機器の中に組み込まれているソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性Zyxel の複数のファイアウォール（CVE-2024-11667）9.8 緊急CVSS v3.1Zyxel のファイアウォールの管理画面で、ファイルを不正に読み書きされる弱点です。同じ製品・メーカーの脆弱性Zyxel の複数のファイアウォール（CVE-2023-33010）9.8 緊急CVSS v3.1Zyxel のファイアウォールの ID 処理に、メモリをあふれさせる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Zyxel Multiple Firewalls OS Command Injection Vulnerability

概要

A command injection vulnerability in the CGI program of some Zyxel firewall versions could allow an attacker to modify specific files and then execute some OS commands on a vulnerable device.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Zyxel の複数のファイアウォールのOSコマンドインジェクションの脆弱性（CVE-2022-30525）