Zyxel Multiple Firewalls のOSコマンドインジェクションの脆弱性（CVE-2023-28771）

何が起きた

Zyxel の複数のファイアウォール製品で、エラーメッセージの扱いに不備があり、細工した通信（パケット）を送られると、一部の OS のコマンドを実行されるおそれがある弱点（コマンドインジェクション）が見つかりました。この弱点は実際に悪用が確認されています。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ZyWALL/USG シリーズのファームウェア 4.60 から 4.73、VPN シリーズ、USG FLEX シリーズ、ATP シリーズの 4.60 から 5.35 が影響を受けます。

何をすればいい

ATP、USG FLEX、VPN シリーズは ZLD V5.36 以降に、ZyWALL/USG シリーズは ZLD V4.73 Patch 1 以降に更新されているか確認してください。あわせて、Zyxel の公式の案内を確認してください。

やることチェックリスト

• ATP や USG FLEX、VPN を ZLD V5.36 以降に更新する
• ZyWALL/USG を ZLD V4.73 Patch 1 以降に更新する
• 使っている機器のファームウェアの版を確認する

用語メモ

コマンドインジェクション

外から送ったデータが、機器の中で命令（コマンド）として実行されてしまう弱点です。

パケット

ネットワークで送られるデータを小分けにしたひとかたまりのことです。

ファームウェア

機器の中に組み込まれて、機器を動かしているソフトウェアです。