Zyxel warnt vor einer kritischen Sicherheitslücke in einigen seiner Produkte und hat gleichzeitig Patches veröffentlicht. Betroffen ist eine ganze Reihe von Firewall- und VPN-Appliances für KMU. Der Sicherheitslücke mit der CVE-Nummer CVE-2022-0342 wurde ein Schweregrad von 9,8, also beinahe das Maximum, zugewiesen.

Wenn sie diese Lücke ausnützen, können Hacker die Authentisierungsmechanismen im CGI (common gateway interface) von betroffenen Geräten umgehen und die Kontrolle darüber übernehmen. Die Schwachstelle kann über das Internet ausgenutzt werden.

Die Sicherheitslücke existiert laut dem Security Advisory von Zyxel in Geräten der USG / ZyWALL-Serien mit den Firmware-Versionen 4.20 bis 4.70, USG FLEX-Geräten mit den Firmware-Versionen 4.50 bis 5.20, ATP-Geräten mit den Firmware-Versionen 4.32 bis 5.20 und VPN-Appliances mit den Firmware-Versionen 4.30 bis 5.20. Für diese Geräte sind Patches erhältlich.

Ebenfalls betroffen sind Geräte der NSG-Serie mit den Firmware-Versionen V1.20 bis V1.33 Patch 4. Für die NSG-Geräte gibt es einen Hotfix, ein eigentlicher Patch folgt erst im Mai.

Noch gibt es keine Berichte darüber, dass Cyberkriminelle diese Lücke bereits aktiv auszunutzen versuchen. Das dürfte aber nur eine Frage der Zeit sein.