Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-120

CVE-2023-33009

Zyxel güvenlik duvarlarında bildirim işlevinde arabellek taşması (uzaktan kod çalıştırma)

Zyxel ATP series firmwareZyxel USG FLEX 50(W) firmwareZyxel USG FLEX series firmware

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1253 gün
Kaydı açan
Zyxel
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 5 Haz 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 26 Haz 2023.

Yönetici özeti

Şirketin ağ kenarında kullanılan bazı Zyxel güvenlik duvarı ve VPN cihazları, internet üzerinden kimlik doğrulaması olmadan ele geçirilebilecek kritik bir açık barındırıyor. Açığın aktif olarak istismar edildiği bilindiği için gecikmeden güncelleme yapılması gerekiyor. Aksi halde hizmet kesintisi ve kurum ağına yetkisiz erişim riski vardır.

ÖzetTürkçe

Zyxel ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN, VPN ve ZyWALL/USG serisi cihazların bellenimindeki bildirim işlevinde bir arabellek taşması (CWE-120) bulunuyor. Etkilenen sürümler ATP, USG FLEX, USG FLEX 50(W), USG20(W)-VPN ve VPN serilerinde 4.60 ile 5.36 Patch 1 arası, ZyWALL/USG serisinde ise 4.60 ile 4.73 Patch 1 arasıdır. Kimlik doğrulaması olmayan bir saldırgan ağ üzerinden bu açığı tetikleyebilir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesine 5 Haziran 2023 tarihinde eklenmiştir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan cihazı hizmet dışı bırakabilir, hatta cihaz üzerinde uzaktan kod çalıştırabilir. Bu durum güvenlik duvarının ele geçirilmesine ve arkasındaki ağın tehlikeye girmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

A buffer overflow vulnerability in the notification function in Zyxel ATP series firmware versions 4.60 through 5.36 Patch 1, USG FLEX series firmware versions 4.60 through 5.36 Patch 1, USG FLEX 50(W) firmware versions 4.60 through 5.36 Patch 1, USG20(W)-VPN firmware versions 4.60 through 5.36 Patch 1, VPN series firmware versions 4.60 through 5.36 Patch 1, ZyWALL/USG series firmware versions 4.60 through 4.73 Patch 1, could allow an unauthenticated attacker to cause denial-of-service (DoS) conditions and even a remote code execution on an affected device.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Etkilenen Zyxel cihazlarınızın model ve bellenim sürümünü belirleyin; 4.60–5.36 Patch 1 (ZyWALL/USG için 4.60–4.73 Patch 1) aralığındaysa üretici güvenlik bildirimine göre güncelleme yapın. Genel öneri
  2. Üreticinin yayımladığı yamalı bellenim sürümünü yükleyin ve cihazı yeniden başlatarak güncellemenin uygulandığını doğrulayın. Genel öneri
  3. CISA'nın gerekli eylemi: Güncellemeleri üretici talimatlarına göre uygulayın. CISA
  4. Güncelleme hemen yapılamıyorsa cihazın yönetim ve hizmet arayüzlerinin internetten erişimini geçici olarak kısıtlayın. Genel öneri

Ek önlemler

  • Güvenlik duvarı yönetim arayüzlerini internete açmayın; erişimi yalnızca güvenilir IP adresleri veya VPN üzerinden verin. Genel öneri
  • Cihaz günlüklerini ve beklenmedik yeniden başlatmaları izleyin; olağan dışı yapılandırma değişikliği, yeni hesap veya şüpheli giden bağlantı olup olmadığını kontrol edin. Genel öneri
  • Sömürü şüphesi varsa cihazı ele geçirilmiş kabul edip yapılandırmayı ve parolaları gözden geçirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler6 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Zyxel ATP series firmware Sürüm belirtilmemiş –
Zyxel USG FLEX 50(W) firmware Sürüm belirtilmemiş –
Zyxel USG FLEX series firmware Sürüm belirtilmemiş –
Zyxel USG20(W)-VPN firmware Sürüm belirtilmemiş –
Zyxel VPN series firmware Sürüm belirtilmemiş –
Zyxel ZyWALL/USG series firmware Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.