超危
Zyxel多款产品操作系统命令注入漏洞
2023-04-25 00:00:00 公开 ，2026-02-27 06:48:20 更新
- 关键漏洞
- CISA KEV
- APT漏洞
- 远程
- 无需认证
- 公开PoC
- CWE Top 25 (2023)
- CWE Top 25 (2024)
- CWEs：
- CWE-78 （OS Command Injection）
- SSVC：
- 可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2023-11-18 13:00:32
风险信息
- CVSS v3 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS v3 风险值
- 9.8
- CVSS v3.1 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS v3.1 风险值
- 9.8
详细信息
- 漏洞类型
- 命令注入
- 漏洞描述
- Zyxel ZyWALL USG是中国合勤（Zyxel）公司的一款网络安全防火墙设备。Zyxel ATP、USG FLEX、VPN系列固件4.60版本至5.35版本，ZyWALL/USG系列固件4.60版本至4.73版本中错误消息处理不当，这可能使未经身份验证的攻击者能够通过向受影响的设备发送特制的数据包来远程执行某些操作系统命令。
- 修复建议
- Zyxel ATP、USG FLEX、VPN系列固升级到ZLD 5.36版本，ZyWALL/USG系列固件升级到ZLD V4.73 Patch 1，补丁获取链接： https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls
参考链接
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls
CVE · Vendor Advisory
- https://cxsecurity.com/cveshow/CVE-2023-28771/
- https://nvd.nist.gov/vuln/detail/CVE-2023-28771
- http://packetstormsecurity.com/files/172820/Zyxel-IKE-Packet-Decoder-Unauthenticated-Remote-Code-Execution.html
CVE · Third Party Advisory · Exploit
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-28771
NVD · US Government Resource