合勤（Zyxel）本周发布安全公告，修补影响VPN及防火墙产品的重大漏洞。
编号CVE-2022-0342的漏洞为验证绕过漏洞，出在合勤防火墙产品CGI程序访问管控机制不当，使攻击者得以绕过验证，取得管理员访问权限。该漏洞风险值高达9.8。
受这项漏洞影响的产品包括防火墙USG/ZyWALL、USG FLEX、ATP、VPN及NSG，合勤已发布更新版固件ZLD V4.71（USG/ZyWALL）、ZLD V5.21 Patch 1（USG FLEX、ATP）及ZLD V5.21（VPN），该公司呼吁用户应尽快更新。针对NSG系列，合勤目前发布Hotfix，预计5月5日发布标准修补程序V1.33 Patch 5。
合勤也在2月底针对Armor家用路由器设备发布安全公告，以修补两个安全漏洞CVE-2021-4029及CVE-2021-4030。
其中CVE-2021-4029为指令注入漏洞，存在CGI程序中，可让本地攻击者通过LAN接口在目标设备上执行任意OS指令。CVE-2021-4030则是位于HTTP精灵程序的跨站请求伪造（cross-site request forgery）漏洞，攻击者可诱使本地用户访问包含恶意Script的网站，进而执行任意指令。美国NIST漏洞数据库将两项漏洞同列为8.8的高风险漏洞。但合勤分别列为8.8及8.0。
受影响的机型为Zyxel Armor Z1、Z2产品，合勤已针对Z2发布更新版固件修补漏洞。Z1已届产品生命周期终点（EoL），合勤建议Z1用户应换成新一代产品。