Эксперт Positive Technologies Никита Абрамов обнаружил проблему, затрагивавшую десятки моделей коммутаторов Zyxel. При помощи отправки специально сформированного HTTP-запроса злоумышленник мог удаленно изменить содержимое памяти устройства и спровоцировать отказ в обслуживании.
Уязвимость получила идентификатор CVE-2022-43393 и оценку 8,2 балла из 10 возможных по шкале CVSSv3, что соответствует высокому уровню риска.
В общей сложности багу были подвержены 47 различных моделей, часть из которых могла использоваться в больших компаниях со сложной сетевой инфраструктурой (например, коммутаторы серии XGS4600) и конвергентных сетях (серия XGS2210). Другие устройства наоборот применялись и в относительно небольших организациях, которым требуются централизованное управление и настройка гибких сценариев (например, серия GS1920).
Исследователь рассказал, что при помощи отправки специально сформированного HTTP-запроса злоумышленник мог удаленно изменить содержимое памяти устройства и вызвать отказ в обслуживании.
«Данный тип уязвимостей на практике менее интересен, чем выполнение произвольного кода. Однако при использовании обнаруженной уязвимости может быть нарушен рабочий процесс предприятия или выведены из строя критически важные элементы его инфраструктуры. Все это несет затраты и риски для бизнеса и может стать недопустимым событием, которое поставит под угрозу деятельность компании», — отметил Никита Абрамов, специалист отдела анализа приложений Positive Technologies.
В настоящее время производитель уже устранил ошибку, выпустив патчи для всех коммутаторов, в которых она была выявлена.
Эксперты говорят, что им удалось обнаружить уязвимые коммутаторы Zyxel на Тайване — 12,8%, во Франции — 11,9 %, в Таиланде — 9,1 %, Южной Корее — 7,7%, Италии — 7,6%, США — 5,5%, России — 0,5%.
