最近の脆弱性 › CVE-2023-27992

Zyxel Multiple Network-Attached Storage (NAS) Devices のコマンドインジェクションの脆弱性（CVE-2023-27992）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-27992
製品	Zyxel Multiple Network-Attached Storage (NAS) Devices
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-06-23
米国政府機関の対応期限	2023-07-14
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

Zyxel のネットワーク接続ストレージ（NAS）に、ログイン前の段階で、送られた値を OS の命令として実行してしまう弱点（コマンドインジェクション）が見つかりました。細工した HTTP の要求を送るだけで、ログインしていない攻撃者が、離れた場所から一部の OS の命令を実行できる可能性があります。NVD の評価では、ネットワーク経由で、権限も利用者の操作もなしに悪用できます。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zyxel の NAS326、NAS540、NAS542 を使っている人・組織が対象です。Zyxel の案内では、NAS326 は V5.21(AAZF.13)C0 以前、NAS540 は V5.21(AATB.10)C0 以前、NAS542 は V5.21(ABAG.10)C0 以前のファームウェアが影響を受けます。

何をすればいい

NAS326 は V5.21(AAZF.14)C0、NAS540 は V5.21(AATB.11)C0、NAS542 は V5.21(ABAG.11)C0 以降のファームウェアに更新されているか確認してください。Zyxel の公式の案内を確認し、まだなら修正版を入れます。

やることチェックリスト

NAS326 を V5.21(AAZF.14)C0 以降にする
NAS540 を V5.21(AATB.11)C0 以降にする
NAS542 を V5.21(ABAG.11)C0 以降にする

用語メモ

NAS: ネットワークにつないで、複数の人や機器からファイルを保存・共有できる記憶装置です。
コマンドインジェクション: 送られた文字の中に命令をまぎれこませ、機器にその命令を実行させてしまう攻撃です。
ファームウェア: 機器を動かすために、機器の中に入っている基本のソフトウェアです。

元データ（英語・CISA KEV より）

Zyxel Multiple NAS Devices Command Injection Vulnerability

概要

Multiple Zyxel network-attached storage (NAS) devices contain a pre-authentication command injection vulnerability that could allow an unauthenticated attacker to execute commands remotely via a crafted HTTP request.

推奨対応

Apply updates per vendor instructions.