Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2023-28771

Zyxel güvenlik duvarlarında kimlik doğrulamasız işletim sistemi komut enjeksiyonu

Zyxel ATP series firmwareZyxel USG FLEX series firmwareZyxel VPN series firmware

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1282 gün
Kaydı açan
Zyxel
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 31 May 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 21 Haz 2023.

Yönetici özeti

Bu açık, şirketin internete bakan güvenlik duvarının dışarıdan, şifre bilmeden ele geçirilmesine izin verebilir. Açığın aktif olarak istismar edildiği bilindiği için risk çok yüksektir ve güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Zyxel ZyWALL/USG, VPN, USG FLEX ve ATP serisi güvenlik duvarlarının yazılımında hata mesajlarının hatalı işlenmesinden kaynaklanan bir işletim sistemi komut enjeksiyonu açığı bulunuyor. Etkilenen sürümler ZyWALL/USG için 4.60–4.73, VPN, USG FLEX ve ATP serileri için 4.60–5.35 aralığındadır. Saldırgan, kimlik doğrulaması gerekmeden cihaza özel hazırlanmış paketler göndererek bazı işletim sistemi komutlarını uzaktan çalıştırabilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan ağ üzerinden cihazda komut çalıştırarak gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki sağlayabilir. Bu durum güvenlik duvarının ele geçirilmesine ve iç ağa erişime yol açabilir.

Kaynaktaki açıklama (İngilizce)

Improper error message handling in Zyxel ZyWALL/USG series firmware versions 4.60 through 4.73, VPN series firmware versions 4.60 through 5.35, USG FLEX series firmware versions 4.60 through 5.35, and ATP series firmware versions 4.60 through 5.35, which could allow an unauthenticated attacker to execute some OS commands remotely by sending crafted packets to an affected device.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Cihazınızın modelini ve çalışan yazılım sürümünü kontrol edin; ZyWALL/USG için 4.60–4.73, VPN, USG FLEX ve ATP serileri için 4.60–5.35 aralığındaysa cihaz etkilenmektedir. Genel öneri
  2. Zyxel'in yayımladığı güvenlik bültenindeki yönergelere göre cihaz yazılımını üreticinin düzeltilmiş sürümüne güncelleyin. Genel öneri
  3. CISA'nın gerekli işlem talimatı doğrultusunda güncellemeleri üretici yönergelerine uygun şekilde uygulayın. CISA
  4. Güncelleme hemen yapılamıyorsa cihazın internetten erişilebilen yönetim ve hizmet arayüzlerini geçici olarak kısıtlayın. Genel öneri

Ek önlemler

  • Güvenlik duvarı yönetim arayüzlerini internete açmayın; erişimi yalnızca güvenilir IP adresleri veya VPN üzerinden sağlayın. Genel öneri
  • Cihaz günlüklerinde olağan dışı komut çalıştırma izleri, beklenmedik yapılandırma değişiklikleri veya yeni yönetici hesapları olup olmadığını inceleyin. Genel öneri
  • Güncellemeden önce cihazın ele geçirilmiş olabileceğini varsayarak yönetici parolalarını değiştirin ve yapılandırmayı doğrulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler4 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Zyxel ATP series firmware ≥ 4.60, ≤ 5.35 –
Zyxel USG FLEX series firmware ≥ 4.60, ≤ 5.35 –
Zyxel VPN series firmware ≥ 4.60, ≤ 5.35 –
Zyxel ZyWALL/USG series firmware ≥ 4.60, ≤ 4.73 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.