几天前披露了漏洞检测 严格的安全 在防火墙中， 虚拟专用网网关 和Zyxel Communications Corp.生产的接入点控制器。
详细上个月 安全研究人员 荷兰网络安全公司 Eye Control记录了此案 他们提到该漏洞影响了该公司生产的100.000多个设备。
脆弱性 表示设备具有硬编码的管理员级别后门 可以授予攻击者使用SSH或Web管理面板对设备的根访问权限。
给定加密的用户名和密码，黑客可以使用Zyxel设备访问网络。
Eye Control研究人员Niels Teusink说：“例如，有人可以更改防火墙设置以允许或阻止某些流量。” “他们还可以拦截流量或创建VPN帐户，以访问设备背后的网络。”
该漏洞在 该 系列设备 Zyxel的ATP，USG，USG Flex，VPN和NXC。
合勤科技虽然不是家喻户晓的名字，但却是一家台湾公司，主要生产中小企业使用的网络设备。
实际上，该公司拥有令人惊讶的惊人新功能列表：它是世界上第一家设计模拟/数字ISDN调制解调器的公司，第一家提供ADSL2 +网关的公司，并且第一家提供大小与之相似的便携式个人防火墙的公司。手掌等成就。
然而， 这不是在Zyxel设备上首次发现漏洞。 弗劳恩霍夫通信学院在XNUMX月份进行的一项研究将Zyxel与华硕计算机公司，Netgear公司，D-Link公司，Linksys，TP-Link技术有限公司和AVM Computersysteme Vertriebs GmbH一起评为安全等级。问题。
根据合勤公司的代表，后门不是恶意活动的结果 来自第三方攻击者，例如ro是用于自动下载更新的常规功能 通过FTP的固件。
请注意，预定义密码未加密 Eye Control安全研究人员通过检查固件映像中的文本片段注意到了这一点。
在用户群中， 密码存储为哈希，并且其他帐户已从用户列表中排除， 但是其中一个可执行文件包含明文密码Zyxel，该密码已在XNUMX月下旬收到通知，并已部分修复。
Zyxel的ATP（高级威胁防护），USG（统一安全网关），USG FLEX和VPN防火墙以及NXC2500和NXC5500接入点控制器均受到影响。
合勤科技已解决漏洞，在一份通报中正式命名为CVE-2020-29583，并发布了修补程序以解决此问题。 在通知中，该公司指出，加密的用户帐户“ zyfwp”旨在向通过FTP连接的访问点提供自动固件更新。
固件更新V4.60 Patch1中修复的防火墙问题 （据称默认密码仅出现在固件V4.60 Patch0中，并且较旧的固件版本不受此问题的影响，但是较旧的固件中还有其他漏洞可用来攻击设备。 ）。
在热点地区 该修复程序将包含在计划于6.10年1月的V2021 PatchXNUMX更新中。 建议所有有问题设备的用户立即更新固件或关闭防火墙级别的网络端口。
由于默认情况下VPN服务和用于管理设备的Web界面在同一网络端口443上接受连接，这使该问题更加严重，这就是为什么许多用户将443留给外部请求并因此对其开放的原因除了VPN端点外，他们还可以登录Web界面。
根据初步估算， 超过100个包含已识别后门的设备 它们可在网络上通过网络端口443连接。
建议受影响的Zyxel设备的用户安装适当的固件更新以提供最佳保护。
数据来源： https://www.eyecontrol.nl