Zyxel Multiple Firewalls のバッファオーバーフローの脆弱性（CVE-2023-33010）

何が起きた

Zyxel の複数のファイアウォール製品で、ID を処理する機能に、用意した大きさを超えてデータを書き込んでしまう弱点（バッファオーバーフロー）が見つかり、実際に悪用が確認されています。悪用されると、機器が止まるサービス妨害（DoS）や、遠隔からのコード実行が起きるおそれがあります。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ATP シリーズのファームウェア 4.32 から 5.36 Patch 1、USG FLEX シリーズの 4.50 から 5.36 Patch 1、USG FLEX 50(W) と USG20(W)-VPN の 4.25 から 5.36 Patch 1、VPN シリーズの 4.30 から 5.36 Patch 1、ZyWALL/USG シリーズの 4.25 から 4.73 Patch 1 が影響を受けます。

何をすればいい

ATP、USG FLEX、USG FLEX 50(W)、USG20(W)-VPN、VPN シリーズは ZLD V5.36 Patch 2 に、ZyWALL/USG シリーズは ZLD V4.73 Patch 2 に更新されているか確認してください。あわせて、Zyxel の公式の案内を確認してください。同じ勧告では CVE-2023-33009 も修正されています。

やることチェックリスト

• ATP や VPN などを ZLD V5.36 Patch 2 に更新する
• ZyWALL/USG を ZLD V4.73 Patch 2 に更新する
• 使っている機器のファームウェアの版を確認する

用語メモ

ファイアウォール

ネットワークの出入り口で、通してよい通信と止める通信を見分ける機器です。

バッファオーバーフロー

用意したメモリの大きさより多くのデータを書き込んでしまう不具合です。機器を止められたり、好きな命令を実行されたりするおそれがあります。

サービス妨害

機器やサービスを止めたり、使えなくしたりする攻撃のことです。DoS とも呼ばれます。

ファームウェア

機器の中に組み込まれて、機器を動かしているソフトウェアです。