Опасный бекдор в устройствах от ZyXEL

Более 100 000 устройств ZyXEL потенциально уязвимы для бэкдора — речь идет о жестко закодированной административной учетной записи, используемой для обновления прошивки межсетевых экранов и контроллеров точек доступа. Нильс Тьюзинк (Niels Teusink) из голландской фирмы Eye Control, занимающейся кибербезопасностью, обнаружил эту учетную запись в последней прошивке для некоторых устройств ZyXEL.

Интересно, что аккаунт не отображается в пользовательском интерфейсе ZyXEL, имеет логин zyfwp и статичный текстовый пароль. Учетная запись может использоваться для входа на уязвимые устройства как через SSH, так и через веб-интерфейс. Поскольку SSL VPN на этих устройствах работает на том же порту, что и веб-интерфейс, многие пользователи открыли для Интернета порт 443 своих устройств. Используя общедоступные данные из Project Sonar, я смог идентифицировать около 3000 уязвимых межсетевых экранов, VPN-шлюзов и контроллеров точек доступа от ZyXEL только в Нидерландах. По всему миру более 100 000 устройств открыли свои веб-интерфейсы для доступа в интернет, — сообщил специалист.

Такая уязвимость может использоваться для получения доступа к внутренней сети или создания правил переадресации портов, чтобы сделать внутренние службы общедоступными. Кто-то может, например, изменить настройки межсетевого экрана, чтобы разрешить или заблокировать определенный трафик. В сочетании с другими уязвимостями это может иметь разрушительные последствия для малого и среднего бизнеса.

Таким образом, желательно поскорее обновить затронутые сетевые устройства до последней версии прошивки — благо, ZyXEL уже выпустила версию 4.60 Patch 1 для межсетевых экранов серий ATP, USG, USG FLEX и VPN. В своем сообщении компания поблагодарила специалистов Eye за информацию и заявила, что использовала жестко закодированные учетные записи для доставки автоматических обновлений прошивки через FTP, причем оборудование с предыдущей версией прошивки ранее V4.60 Patch0 не затронуто проблемой. К сожалению, контроллеры точек доступа NXC2500 и NXC5500 остаются уязвимы, а заплатка V6.10 Patch1 для них будет выпущена только в апреле 2021 года.

 

 

 

Источник