Tajn√Ĺ √ļńćet Backdoor sa nach√°dza v niekońĺk√Ĺch produktoch Zyxel Firewall, VPN

Tajn√Ĺ √ļńćet Backdoor sa nach√°dza v niekońĺk√Ĺch produktoch Zyxel Firewall, VPN 1

SpolońćnosŇ• Zyxel vydala opravu, ktor√° rieŇ°i kritick√ļ zraniteńĺnosŇ• svojho firmv√©ru t√Ĺkaj√ļcu sa napevno zak√≥dovan√©ho, ‚Äč‚Äčnezdokumentovan√©ho tajn√©ho √ļńćtu, ktor√Ĺ by mohol √ļtońćn√≠k zneuŇĺiŇ• na prihl√°senie sa s opr√°vneniami spr√°vcu a kompromitovaŇ• jeho sieŇ•ov√© zariadenia.

Chyba, sledovan√° ako CVE-2020-29583 (sk√≥re CVSS 7.8), ovplyvŇąuje verziu 4.60 pr√≠tomn√Ĺch v Ň°irokej Ň°k√°le zariaden√≠ Zyxel, vr√°tane produktov Unified Security Gateway (USG), USG FLEX, ATP a VPN firewallov.

V√Ĺskumn√≠k EYE Niels Teusink ohl√°sil zraniteńĺnosŇ• spolońćnosti Zyxel 29. novembra, po ńćom spolońćnosŇ• 18. decembra vydala opravu firmv√©ru (ZLD V4.60 Patch1).

Podńĺa odpor√ļńćania zverejnen√©ho spolońćnosŇ•ou Zyxel m√° nezdokumentovan√Ĺ √ļńćet (“zyfwp”) nezmeniteńĺn√© heslo, ktor√© nie je uloŇĺen√© iba v obyńćajnom texte, ale m√īŇĺe ho pouŇĺiŇ• aj Ň°kodliv√° tretia strana na prihl√°senie na server SSH alebo webov√© rozhranie s opr√°vneniami spr√°vcu. .

Zyxel uviedol, Ňĺe napevno zak√≥dovan√© poverenia boli zaveden√© na poskytovanie automatick√Ĺch aktualiz√°ci√≠ firmv√©ru pripojen√Ĺm pr√≠stupov√Ĺm bodom cez FTP.

Poznamenaj√ļc, Ňĺe ‚Äč‚ÄčpribliŇĺne 10 % z 1 000 zariaden√≠ v Holandsku pouŇĺ√≠va postihnut√ļ verziu firmv√©ru, Teusink uviedol, Ňĺe relat√≠vne jednoduch√© vyuŇĺitie chyby z nej rob√≠ kritick√ļ zraniteńĺnosŇ•.

“Ako ‘zyfwp“PouŇĺ√≠vateńĺ m√° opr√°vnenia spr√°vcu, ide o v√°Ňĺnu zraniteńĺnosŇ•,” nap√≠sal Teusink. “√ötońćn√≠k by mohol √ļplne ohroziŇ• d√īvernosŇ•, integritu a dostupnosŇ• zariadenia.”

“Niekto by mohol napr√≠klad zmeniŇ• nastavenia br√°ny firewall, aby povolil alebo zablokoval urńćit√ļ komunik√°ciu. Mohli by tieŇĺ zachyt√°vaŇ• prenosy alebo vytv√°raŇ• √ļńćty VPN, aby z√≠skali pr√≠stup k sieti za zariaden√≠m. V kombin√°cii so zraniteńĺnosŇ•ou, akou je Zerologon, by to mohlo byŇ• pre mal√© a stredn√© podniky znińćuj√ļce.” “

Ońćak√°va sa tieŇĺ, Ňĺe taiwansk√° spolońćnosŇ• vyrieŇ°i probl√©m so svojimi ovl√°dańćmi pr√≠stupov√©ho bodu (AP) pomocou opravy V6.10 Patch1, ktor√° m√° byŇ• vydan√° v apr√≠li 2021.

D√īrazne sa odpor√ļńća, aby pouŇĺ√≠vatelia nainŇ°talovali potrebn√© aktualiz√°cie firmv√©ru na zmiernenie rizika spojen√©ho s chybou.

Related Articles

Back to top button