• ひとことでZyxel の NAS で、ログインなしに OS の命令を実行される弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることNAS326 を V5.21(AAZF.14)C0 以降にする

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-27992
製品Zyxel Multiple Network-Attached Storage (NAS) Devices
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-06-23
米国政府機関の対応期限2023-07-14
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

Zyxel のネットワーク接続ストレージ（NAS）に、ログイン前の段階で、送られた値を OS の命令として実行してしまう弱点（コマンドインジェクション）が見つかりました。細工した HTTP の要求を送るだけで、ログインしていない攻撃者が、離れた場所から一部の OS の命令を実行できる可能性があります。NVD に登録された Zyxel の評価では、ネットワーク経由で、権限も利用者の操作もなしに悪用できます。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が NAS に細工した要求を送る → 2. ログイン前に要求の中身が処理される → 3. まぎれこんだ命令が実行される → 4. NAS を離れた場所から操作される1攻撃者が NAS に細工した要求を送る2ログイン前に要求の中身が処理される3まぎれこんだ命令が実行される4NAS を離れた場所から操作される攻撃の流れ: 1. 攻撃者が NAS に細工した要求を送る → 2. ログイン前に要求の中身が処理される → 3. まぎれこんだ命令が実行される → 4. NAS を離れた場所から操作される1攻撃者が NAS に細工した要求を送る2ログイン前に要求の中身が処理される3まぎれこんだ命令が実行される4NAS を離れた場所から操作される攻撃の流れ: 1. 攻撃者が NAS に細工した要求を送る → 2. ログイン前に要求の中身が処理される → 3. まぎれこんだ命令が実行される → 4. NAS を離れた場所から操作される1攻撃者が NAS に細工した要求を送る2ログイン前に要求の中身が処理される3まぎれこんだ命令が実行される4NAS を離れた場所から操作される

誰が影響を受ける

Zyxel の NAS326、NAS540、NAS542 を使っている人・組織が対象です。Zyxel の案内では、NAS326 は V5.21(AAZF.13)C0 以前、NAS540 は V5.21(AATB.10)C0 以前、NAS542 は V5.21(ABAG.10)C0 以前のファームウェアが影響を受けます。

何をすればいい

NAS326 は V5.21(AAZF.14)C0、NAS540 は V5.21(AATB.11)C0、NAS542 は V5.21(ABAG.11)C0 以降のファームウェアに更新されているか確認してください。Zyxel の公式の案内を確認し、まだなら修正版を入れます。

やることチェックリスト

  • NAS326 を V5.21(AAZF.14)C0 以降にする
  • NAS540 を V5.21(AATB.11)C0 以降にする
  • NAS542 を V5.21(ABAG.11)C0 以降にする

用語メモ

NAS 用語集で見る
ネットワークにつないで、複数の人や機器からファイルを保存・共有できる記憶装置です。
コマンドインジェクション 用語集で見る
送られた文字の中に命令をまぎれこませ、機器にその命令を実行させてしまう攻撃です。
ファームウェア 用語集で見る
機器を動かすために、機器の中に入っている基本のソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性Zyxel の複数の NAS 機器（CVE-2020-9054）9.8 緊急CVSS v3.1Zyxel の NAS で、ログインなしに外から命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Zyxel Multiple NAS Devices Command Injection Vulnerability

概要

Multiple Zyxel network-attached storage (NAS) devices contain a pre-authentication command injection vulnerability that could allow an unauthenticated attacker to execute commands remotely via a crafted HTTP request.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る