Tajný účet Backdoor sa nachádza v niekoľkých produktoch Zyxel Firewall, VPN

Spoločnosť Zyxel vydala opravu, ktorá rieši kritickú zraniteľnosť svojho firmvéru týkajúcu sa napevno zakódovaného, ​​nezdokumentovaného tajného účtu, ktorý by mohol útočník zneužiť na prihlásenie sa s oprávneniami správcu a kompromitovať jeho sieťové zariadenia.

Chyba, sledovaná ako CVE-2020-29583 (skóre CVSS 7.8), ovplyvňuje verziu 4.60 prítomných v širokej škále zariadení Zyxel, vrátane produktov Unified Security Gateway (USG), USG FLEX, ATP a VPN firewallov.

Výskumník EYE Niels Teusink ohlásil zraniteľnosť spoločnosti Zyxel 29. novembra, po čom spoločnosť 18. decembra vydala opravu firmvéru (ZLD V4.60 Patch1).

Podľa odporúčania zverejneného spoločnosťou Zyxel má nezdokumentovaný účet (“zyfwp”) nezmeniteľné heslo, ktoré nie je uložené iba v obyčajnom texte, ale môže ho použiť aj škodlivá tretia strana na prihlásenie na server SSH alebo webové rozhranie s oprávneniami správcu. .

Zyxel uviedol, že napevno zakódované poverenia boli zavedené na poskytovanie automatických aktualizácií firmvéru pripojeným prístupovým bodom cez FTP.

Poznamenajúc, že ​​približne 10 % z 1 000 zariadení v Holandsku používa postihnutú verziu firmvéru, Teusink uviedol, že relatívne jednoduché využitie chyby z nej robí kritickú zraniteľnosť.

“Ako ‘zyfwp“Používateľ má oprávnenia správcu, ide o vážnu zraniteľnosť,” napísal Teusink. “Útočník by mohol úplne ohroziť dôvernosť, integritu a dostupnosť zariadenia.”

“Niekto by mohol napríklad zmeniť nastavenia brány firewall, aby povolil alebo zablokoval určitú komunikáciu. Mohli by tiež zachytávať prenosy alebo vytvárať účty VPN, aby získali prístup k sieti za zariadením. V kombinácii so zraniteľnosťou, akou je Zerologon, by to mohlo byť pre malé a stredné podniky zničujúce.” “

Očakáva sa tiež, že taiwanská spoločnosť vyrieši problém so svojimi ovládačmi prístupového bodu (AP) pomocou opravy V6.10 Patch1, ktorá má byť vydaná v apríli 2021.

Dôrazne sa odporúča, aby používatelia nainštalovali potrebné aktualizácie firmvéru na zmiernenie rizika spojeného s chybou.