CVE-2022-30525

Falha de injeção de comandos do sistema operacional (OS command injection) no programa CGI de provisionamento de múltiplas linhas de firewall Zyxel (USG FLEX, ATP, VPN series, USG20-VPN), explorável sem autenticação através da rede. CVSS 9.8 e EPSS próximo de 1.0 refletem a realidade: está no catálogo KEV da CISA por exploração ativa confirmada, tem módulo Metasploit, template Nuclei e PoC pública — é uma das CVEs de firewall mais escaneadas e usadas por botnets desde 2022.

A falha é classificada como CWE-78 (OS Command Injection). Está no programa CGI usado no fluxo de provisionamento/gerenciamento do dispositivo, que recebe dados de entrada e os utiliza para modificar arquivos específicos no sistema de arquivos do firewall; esses arquivos modificados acabam sendo interpretados ou referenciados por processos que executam comandos do sistema operacional, sem sanitização adequada do conteúdo controlado pelo atacante. Isso permite que uma entrada malformada resulte em execução arbitrária de comandos no contexto do processo CGI.

O título de uma das PoCs catalogadas ("Zyxel Firewall ZTP Unauthenticated Command Injection") indica que o vetor está associado ao mecanismo de Zero Touch Provisioning (ZTP) do dispositivo, um recurso pensado para provisionamento automático que, em muitas configurações, fica acessível pela interface de gerenciamento sem exigir credenciais. Outra referência catalogada ("SUID Binary Privilege Escalation") sugere que pesquisadores encadearam essa injeção com um binário SUID presente no firmware para elevar a execução inicial a privilégios de root completos no dispositivo — mas essa parte é uma cadeia de exploração documentada por terceiros, não parte da CVE-2022-30525 em si (que cobre apenas a injeção de comando).

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) confirma ausência de pré-requisito de autenticação e de interação do usuário, e complexidade de ataque baixa — condições coerentes com exploração massiva observada.

A exploração ocorre remotamente via HTTP/HTTPS contra a interface CGI de gerenciamento/provisionamento do dispositivo. Não é necessária autenticação prévia, o que reduz drasticamente a barreira de exploração: qualquer firewall vulnerável com a interface administrativa exposta à internet (WAN) é alvo direto. Isso é o dado mais relevante para priorização: dispositivos com a administração restrita a LAN ou VPN, sem exposição direta à internet, não sofrem o mesmo risco imediato, embora ainda estejam vulneráveis a um atacante que já tenha pé dentro da rede.

A disponibilidade de PoC pública, módulo Metasploit e template Nuclei tornou a exploração trivial de automatizar — o padrão observado após a divulgação foi varredura em massa da internet à procura de instâncias expostas, característica de campanhas de botnet (o padrão típico de CVEs de firewall/roteador nesse período: comprometimento para inclusão em redes de bots ou para acesso inicial em intrusões maiores). A entrada no catálogo KEV da CISA, com prazo de correção de apenas três semanas após a adição (16/05/2022 a 06/06/2022), reflete a urgência atribuída pelo órgão à exploração ativa confirmada.

O resultado final da exploração é execução de comandos arbitrários no sistema operacional do firewall, o que, em um dispositivo de borda de rede, normalmente equivale a comprometimento total do perímetro: interceptação de tráfego, pivotamento para a rede interna, manipulação de regras de firewall/VPN e persistência.

A correção definitiva é atualizar o firmware para uma versão posterior a 5.21 Patch 1 nas linhas USG FLEX (100/100W, 200, 500, 700), USG FLEX 50/50W, USG20(W)-VPN e ATP series, e para uma versão corrigida acima da faixa 4.60–5.21 Patch 1 na VPN series — a tabela exata de builds corrigidos por modelo consta no advisory oficial da Zyxel e deve ser conferida diretamente nele, pois a numeração de patch varia por linha de produto e não está detalhada de forma uniforme nas fontes consultadas aqui.

Como paliativo quando a atualização imediata não é viável: remover qualquer exposição da interface de administração/CGI de provisionamento à internet, restringindo o acesso a redes de gerência confiáveis ou VPN. Isso neutraliza o vetor de rede não autenticado, que é a característica que torna essa CVE crítica na prática — sem exposição WAN, a superfície de ataque cai para quem já tem acesso à rede interna. Desabilitar ou restringir o recurso de Zero Touch Provisioning, quando não utilizado, também reduz a superfície disponível ao CGI vulnerável.

O que não funciona como mitigação real: apenas trocar a senha padrão de administração não impede a exploração, já que o vetor não exige autenticação. Regras de firewall genéricas de borda também não protegem se a própria interface de gerenciamento do firewall está exposta — o controle precisa ser aplicado especificamente sobre o acesso à interface administrativa/CGI do próprio dispositivo.

Sinal mais direto: requisições HTTP/HTTPS para os endpoints CGI de provisionamento/ZTP do dispositivo com payloads incomuns em campos que normalmente conteriam dados de configuração simples (nomes de arquivo, parâmetros de rede) — a presença de metacaracteres de shell nesses campos em logs de acesso web é indicativo de tentativa de exploração. A existência de template Nuclei público significa que esse mesmo padrão de requisição é usado tanto por atacantes quanto por scanners defensivos, então volume alto de requisições repetidas ao mesmo endpoint a partir de múltiplos IPs é característico de varredura em massa (padrão de botnet) mais do que de ataque direcionado.

Não há um IOC de rede único e estável divulgado (como um valor de payload fixo), já que a exploração pode variar conforme o exploit usado; portanto, sinal de log do próprio dispositivo (execução de processos filhos inesperados a partir do processo do servidor web/CGI, ou modificação de arquivos de configuração fora do fluxo normal de administração) é mais confiável do que assinatura de tráfego isolada.