某知名防火墙曝出高危漏洞，可绕过身份验证并完全控制设备

最近的网络安全研究中，网络设备制造商 Zyxel 已针对影响其部分业务防火墙和 VPN 产品的关键漏洞推送安全更新，该漏洞可能使攻击者能够控制设备。

根据网络安全行业门户「极牛网」GEEKNB.COM的梳理，该漏洞号为CVE-2022-0342，CVSS评分为 9.8 分，在某些防火墙版本的 CGI 程序中发现了一个由于缺乏适当的访问控制机制而导致的身份验证绕过漏洞，该漏洞可能允许攻击者绕过身份验证并获得对设备的管理访问权限。

以下产品受到该漏洞的影响：

• USG/ZyWALL 运行固件版本 ZLD V4.20 到 ZLD V4.70（在 ZLD V4.71 中修复）
• USG FLEX 运行固件版本 ZLD V4.50 至 ZLD V5.20（已在 ZLD V5.21 补丁 1 中修复）
• ATP 运行固件版本 ZLD V4.32 至 ZLD V5.20（已在 ZLD V5.21 补丁 1 中修复）
• VPN 运行固件版本 ZLD V4.30 至 ZLD V5.20（在 ZLD V5.21 中修复）
• NSG 运行固件版本 V1.20 至 V1.33 补丁 4（现已提供修补程序 V1.33p4_WK11，标准补丁 V1.33 补丁 5 预计将于 2022 年 5 月发布）

虽然没有证据表明该漏洞已被广泛利用，但建议用户安装固件更新以防止潜在的网络攻击威胁。

本周，Sophos 和 SonicWall 都为其防火墙设备发布了补丁，以解决可能允许远程攻击者在受影响系统上执行任意代码的关键漏洞（ CVE-2022-1040和CVE-2022-22274 ）。

已观察到在针对南亚选定组织的主动攻击中利用的关键 Sophos 防火墙漏洞已被美国网络安全和基础设施安全局 (CISA) 添加到其已知被利用漏洞目录中。

列表中还添加了趋势科技 Apex Central 产品中的一个高严重性任意文件上传漏洞，该漏洞可能允许未经身份验证的远程攻击者上传任意文件，从而导致代码执行（CVE-2022-26871，CVSS 评分：8.6）。