Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Backdoor (ssh+ panel webowy) w urządzeniach od Zyxela. Łatajcie
Sam problem został opisany nieco bardziej ogólnie:
Undocumented user account in Zyxel products (CVE-2020-29583)
Badacze analizując binarkę zawartą w jednym z firmware-ów zauważyli tam po prostu login i hasło (plaintext), dające dostęp typu administracyjnego.
The plaintext password was visible in one of the binaries on the system. I was even more surprised that this account seemed to work on both the SSH and web interface.
Podatne są urządzenia klasy firewall/VPN, choć sam producent pisze też nieco enigmatycznie że podatne są również kontrolery bezprzewodowe (tutaj łatka ma być dostępna dopiero w kwietniu 2021r.).
Co ciekawe, w urządzeniach klasy firewall/VPN, specjalne konto zostało dodane tylko w firmware w wersji „V4.60”, a producent zaleca łatanie do wersji „V4.60 Patch1”.
–ms
Jakim cudem coś takiego pojawia się w sofcie? Przecież Zyxel, to nie firma-krzak i jest już w branży kawał czasu.
Każdy producent chyba coś takiego miał.
Oby się dało tam zainstalować coś swojego, bo chyba tylko samemu kompilując można się upewnić że więcej takich bubli nie będzie…