超十万Zyxel设备被曝存在高危漏洞

固件安全
2023-01-07 17:35
31552

Zyxel 是面向中小型企业的热门防火墙品牌。其统一安全网关 (USG) 产品系列通常用作防火墙或 VPN 网关。由于我们很多人都在家工作,所以支持VPN的设备一直很畅销。

近日,荷兰Eye Control 研究员在研究zyxelUSG 40时,惊讶的发现,在其最新固件版本(4.60)中存在一个用户“zyfwp”,且明文密码在系统上的一个二进制文件中可见。更令人惊讶的是,这个帐户似乎同时适用于SSH和Web界面。

$ ssh zyfwp@192.168.1.252
Password: Pr*******Xp
Router> show users current
No: 1
  Name: zyfwp
  Type: admin
(...)
Router>

由于此用户在界面中不可见,因此无法更改其密码。虽然研究员也检查了以前的固件版本 (4.39),但在前版本中尽管存在此用户却没有密码。由此推测该漏洞或早已引入最新的固件版本。

该漏洞编号为CVE-2020-29583。由于这些设备上的 SSL VPN 与 Web 界面在同一端口上运行,因此许多用户已将这些设备中的端口 443 公开到互联网。利用SONAR项目的公开数据,安全研究员成功识别出大约3000个ZyxelUSG/ATP/VPN设备。在全球范围内,超过十万台Zyxel 防火墙、VPN 网关和接入点控制器受到影响。

image.png

根据研究员的经验,这些设备的大多数用户不会经常更新固件。Zyxel 设备也不会将其固件版本公开给未经身份验证的用户,因此确定设备是否易受攻击就变得异常困难。

尽管想要了解受影响的设备数量,但简单地尝试密码并不可行,尤其是这也会受到道德和法律的谴责。

幸运的是,一些javascript和css文件可以避开身份验证,直接从这些设备的Web界面获得请求。这些文件也会随着每个固件版本的变化而变化。使用此信息,研究员可以获得易受攻击固件版本的某些信息。

从而使用此信息来标识荷兰 1000 台设备的固件版本,发现了大约有 10% 正在运行的设备受到了影响。Zyxel 确实提供自动更新,但默认情况下从未启用这些更新。

此外,由于 zyfwp 用户具有管理员权限,所以这个漏洞存在的威胁不容小觑。攻击者可能会完全破坏设备的机密性、完整性和可用性。

例如,有人可以更改防火墙设置以允许或阻止某些流量。他们还可以拦截流量或创建 VPN 帐户以访问设备后面的网络,再加上存在 Zerologon 这样的漏洞,因此这将会对中小型企业造成毁灭性打击。

据悉,Zyxel 大部分主打产品均存在这个漏洞,受影响的产品型号包括:

Advanced Threat Protection ( ATP ) 系列:主要用于防火墙

Unified Security Gateway ( USG ) 系列:主要用于混合防火墙或者 VPN 网关

USG FLEX 系列:主要用于混合防火墙或者 VPN 网关

VPN 系列:主要用于 VPN 网关

NXC 系列:主要用于 WLAN 接入点控制

据 Zyxel 所言,该帐户旨在通过 FTP 为接入点提供自动固件更新,在两周内公司已发布了一个更新的的固件版本。

以下是描述此漏洞发行说明中的部分条目:

[BUG FIX][CVE-2020-29583]
a. Vulnerability fix for undocumented user account.

image.png

据调查,目前只有 ATP、USG、USG Flex 和 VPN 系列的补丁。根据 Zyxel 的安全咨询,NXC 系列的补丁预计将在 2021 年 4 月推出。

在安装补丁之后,Eye Control 表示可以删除后门帐号 -- 用户名为 "zyfwp",密码为 "PrOw!aN_fXp"。 建议设备拥有者在时间允许的情况下尽快更新系统。

附:发现漏洞相关时间线

2020-11-29:EYE 报告 Zyxel 安全性的漏洞

2020-11-30:Zyxel 确认收到

2020-12-02:Zyxel 请求了解有关如何发现漏洞的信息

2020-12-03:EYE 发送更多详细信息

2020-12-08:Zyxel 发布测试版固件 4.60-WK48,并删除其站点上的易受攻击的固件版本

2020-12-15:Zyxel 发布固件 4.60 修补程序 1 适用于大多数设备

2020-12-18:Zyxel 发布固件 4.60 修补程序 1,适用于所有剩余设备

2020-12-23:Zyxel 发布咨询

-end

分享到

参与评论

0 / 200

全部评论 2

zebra的头像
学习大佬思路
2023-03-19 12:15
Hacking_Hui的头像
学习了
2023-02-01 14:20
投稿
签到
联系我们
关于我们