CVE-2023-28771とは？Zyxel の複数のファイアウォールの脆弱性をわかりやすく解説

ひとことでZyxel のファイアウォールで、細工した通信から OS のコマンドを動かされる弱点
深刻度9.8 緊急CVSS v3.1
まずやることATP や USG FLEX、VPN を ZLD V5.36 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2023-28771
製品	Zyxel Multiple Firewalls
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-05-31
米国政府機関の対応期限	2023-06-21
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

Zyxel の複数のファイアウォール製品で、エラーメッセージの扱いに不備があり、細工した通信（パケット）を送られると、一部の OS のコマンドを実行されるおそれがある弱点（コマンドインジェクション）が見つかりました。この弱点は実際に悪用が確認されています。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ZyWALL/USG シリーズのファームウェア 4.60 から 4.73、VPN シリーズ、USG FLEX シリーズ、ATP シリーズの 4.60 から 5.35 が影響を受けます。

何をすればいい

ATP、USG FLEX、VPN シリーズは ZLD V5.36 以降に、ZyWALL/USG シリーズは ZLD V4.73 Patch 1 以降に更新されているか確認してください。あわせて、Zyxel の公式の案内を確認してください。

やることチェックリスト

ATP や USG FLEX、VPN を ZLD V5.36 以降に更新する
ZyWALL/USG を ZLD V4.73 Patch 1 以降に更新する
使っている機器のファームウェアの版を確認する

用語メモ

コマンドインジェクション用語集で見る: 外から送ったデータが、機器の中で命令（コマンド）として実行されてしまう弱点です。
パケット用語集で見る: ネットワークで送られるデータを小分けにしたひとかたまりのことです。
ファームウェア用語集で見る: 機器の中に組み込まれて、機器を動かしているソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性Zyxel の複数のファイアウォール（CVE-2024-11667）9.8 緊急CVSS v3.1Zyxel のファイアウォールの管理画面で、ファイルを不正に読み書きされる弱点です。同じ製品・メーカーの脆弱性Zyxel の複数のファイアウォール（CVE-2023-33010）9.8 緊急CVSS v3.1Zyxel のファイアウォールの ID 処理に、メモリをあふれさせる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Zyxel Multiple Firewalls OS Command Injection Vulnerability

概要

Zyxel ATP, USG FLEX, VPN, and ZyWALL/USG firewalls allow for improper error message handling which could allow an unauthenticated attacker to execute OS commands remotely by sending crafted packets to an affected device.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Zyxel の複数のファイアウォールのOSコマンドインジェクションの脆弱性（CVE-2023-28771）