De Amerikaanse geheime dienst waarschuwt dat aanvallers actief misbruik maken van een kritieke kwetsbaarheid in firewalls en vpn's van fabrikant Zyxel die slechts vier dagen geleden werd geopenbaard. Via het beveiligingslek, aangeduid als CVE-2022-30525, kan een ongeauthenticeerde aanvaller willekeurige code op het apparaat uit te voeren. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

Het probleem wordt veroorzaakt doordat de beheerdersinterface invoer van gebruikers niet goed controleert, waardoor het mogelijk is voor een aanvaller om willekeurige commando's op de firewall of vpn-appliance uit te voeren. Om de aanval op afstand uit te voeren moet de beheerdersinterface wel vanaf het internet toegankelijk zijn. Volgens securitybedrijf Rapid7, dat de kwetsbaarheid ontdekte, zijn erop internet meer dan 16.000 kwetsbare Zyxel-modellen te vinden.

De Shadowserver Foundation, een non-profitorganisatie die zich bezighoudt met de bestrijding van botnets en cybercrime, telt bijna 21.000 vanaf internet toegankelijke Zyxel-machines. Zyxel werd op 13 april over het beveiligingslek geïnformeerd en maakte op 28 april een firmware-update beschikbaar, maar maakte geen melding van de kwetsbaarheid.

Pas vorige week op 12 mei publiceerde Zyxel een advisory waarin het de kwetsbaarheid aankondigde. Dit weekend lieten de Shadowserver Foundation en Rob Joyce, directeur cybersecurity bij de NSA, weten dat aanvallers actief misbruik maken van het Zyxell-lek. Organisaties worden dan ook oproepen om de firmware-update voor de de USG FLEX 100, 100W, 200, 500 en 700, USG20-VPN en USG20W-VPN en ATP 100, 200, 500, 700 en 800 te installeren.