组件介绍

Zyxel USG FLEX是中国Zyxel公司的一款防火墙，可以提供灵活的 VPN 选项，为远程工作和管理提供灵活的安全远程访问。

漏洞描述

近日，深信服安全团队监测到一则Zyxel USG FLEX组件存在越界访问漏洞的信息，漏洞编号：CVE-2022-30525，漏洞威胁等级：严重。

该漏洞是由于特定路径处理json格式的传入数据时存在错误，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行系统命令注入攻击，最终执行任意代码。

影响范围

Zyxel USG FLEX是一款企业级防火墙产品，通常用于企业网络的出口部分。可能受漏洞影响的资产广泛分布于世界各地，在国内主要应用于浙江、北京、上海等地区。此漏洞危险性高，但是用户数量较广泛，漏洞影响力较大。

目前受影响的Zyxel USG FLEX版本：

5.00 ≤ Zyxel ≤ 5.21

官方修复建议

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。