Security Week 2220: уязвимость в офисных устройствах Zyxel

Компания Zyxel на прошлой неделе закрыла критическую уязвимость в трех офисных брандмауэрах серий Zywall ATP и USG FLEX. Проблему обнаружила компания Rapid7, которая выложила технический отчет с видео, демонстрирующим эксплуатацию дыры. Уязвимость получила идентификатор CVE-2022-30525 и рейтинг опасности в 9,8 балла из 10 по шкале CvSS.



Причина такого высокого рейтинга — возможность удаленного выполнения команд без авторизации на устройстве, которое по своей природе должно быть доступно извне. Подверженные устройства Zyxel рекламируются как готовое решение для защиты небольшого подразделения крупной организации, обеспечивают (в зависимости от модели) работу VPN-шлюза, фильтрацию доступа к веб-сайтам и даже сканирование электронной почты. Скорее всего, баг связан с функцией zero-touch provisioning для быстрого внедрения новых устройств.
Читать дальше →

Источник: Хабрахабр

Перейти на сайт

Похожие новости

• Почему безопасность на этапе релиза обходится в десять раз дороже и как это исправить
• Как пчёлы, муравьи и рыбы привели нас к мультиагентному ИИ — и почему его так трудно защитить
• ИБ глазами архитектора: между «карточным домиком» и «бетонным саркофагом»
• ИИ-браузер: сотрудник, который ходит по сайтам, кликает баннеры и верит скидкам 90%
• Как одна кривая регулярка может «положить» ваш сервер: разбираем уязвимость ReDoS
• Я открыл боевую базу своего clipboard-sync, чтобы показать, что он знает о вашем пароле. Ответ: ничего
• Интернет выключили целиком: офлайн-чат на Bluetooth и Wi-Fi Direct, и почему мы не обещаем mesh на весь город
• Muxalma — обмен пакетами данных через общее хранилище
• Western Digital создала жесткий диск с защитой от квантовых атак: разбираем, как он работает
• Как платформа управления AI-агентами будет справляться с нагрузкой: архитектура без магии