合勤（zyxel）本周发布安全公告，修补影响vpn及防火墙产品的重大漏洞。
编号cve-2022-0342的漏洞为验证绕过漏洞，出在合勤防火墙产品cgi程序访问管控机制不当，使攻击者得以绕过验证，取得管理员访问权限。该漏洞风险值高达9.8。
受这项漏洞影响的产品包括防火墙usg/zywall、usg flex、atp、vpn及nsg，合勤已发布更新版固件zld v4.71（usg/zywall）、zld v5.21 patch 1（usg flex、atp）及zld v5.21（vpn），该公司呼吁用户应尽快更新。针对nsg系列，合勤目前发布hotfix，预计5月5日发布标准修补程序v1.33 patch 5。
合勤也在2月底针对armor家用路由器设备发布安全公告，以修补两个安全漏洞cve-2021-4029及cve-2021-4030。
其中cve-2021-4029为指令注入漏洞，存在cgi程序中，可让本地攻击者通过lan接口在目标设备上执行任意os指令。cve-2021-4030则是位于http精灵程序的跨站请求伪造（cross-site request forgery）漏洞，攻击者可诱使本地用户访问包含恶意script的网站，进而执行任意指令。美国nist漏洞数据库将两项漏洞同列为8.8的高风险漏洞。但合勤分别列为8.8及8.0。
受影响的机型为zyxel armor z1、z2产品，合勤已针对z2发布更新版固件修补漏洞。z1已届产品生命周期终点（eol），合勤建议z1用户应换成新一代产品。