CVE-2020-29583

W firmware wersji 4.60 zakodowane jest ukryte konto serwisowe 'zyfwp', którego hasło widnieje w pliku firmware w postaci niezaszyfrowanego tekstu (cleartext). Ponieważ hasła nie można zmienić przez interfejs urządzenia, każda instancja firmware 4.60 zawiera identyczne, znane napastnikowi poświadczenia. Atakujący może użyć tych danych do zalogowania się przez SSH lub panel webowy urządzenia, uzyskując uprawnienia administratora.

Atakujący zdalnie i bez uwierzytelnienia uzyskuje pełne uprawnienia administracyjne na urządzeniu, co umożliwia m.in. zmianę konfiguracji firewalla lub VPN, przechwycenie ruchu sieciowego, a także dalszy lateral movement w chronionej sieci.

Należy niezwłocznie zaktualizować firmware do wersji ZLD 4.60 Patch 1 (lub nowszej), udostępnionej przez Zyxel w grudniu 2020 r. Patch eliminuje nieudokumentowane konto. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu SSH i panelu webowego wyłącznie do zaufanych adresów IP oraz wdrożenie reguł firewallowych blokujących nieautoryzowany dostęp zewnętrzny do portów zarządzania.

Urządzenia Zyxel USG20-VPN, USG20W-VPN oraz USG40 (i prawdopodobnie inne urządzenia z serii USG) z zainstalowanym firmware w wersji 4.60

Podatność odkryta i ujawniona przez badaczy z Eye Control (eyecontrol.nl), co wynika bezpośrednio z referencji do ich wpisu blogowego. Zyxel opublikował poprawkę ZLD 4.60 Patch 1 w grudniu 2020 r., informację potwierdzają referencje do forum Zyxel Business Forum.

CISA KEV — szczegółyi

Dostawcai

Zyxel

Produkti

Multiple Products

Data dodania do KEVi

3 listopada 2021

Termin remediation (USA)i

3 maja 2022(po terminie)