10萬+合勤科技Zyxel安全產品曝出管理員級別后門
責編：gltian ｜2021-01-05 16:43:12近日，荷蘭網絡安全公司Eye Control的安全研究人員發現，超過10萬個合勤科技（Zyxel）公司的防火墻、接入點控制器和VPN網關產品中存在管理員級后門賬戶。這些在二進制代碼中硬編碼的管理員級別賬戶使攻擊者可通過Web管理面板或SSH界面獲得對設備的root訪問權限。合勤科技（Zyxel）是一家位于中國臺灣新竹的網絡設備制造商。
可被輕松利用的漏洞
Zyxel固件中發現的后門被稱為關鍵固件漏洞，CVE編號CVE-2020-29583，得分為7.8 CVSS。雖然CVSS評分看似不是很高，但卻不可小覷。研究人員表示，這是一個極為嚴重的漏洞，所有者必須立即更新其系統。因為任何人都可以輕松利用這個漏洞，從DDoS僵尸網絡運營商到勒索軟件團體和政府資助的黑客。
通過濫用后門賬戶，網絡罪犯可以訪問易受攻擊的設備并感染內部網絡以發起其他攻擊。攻擊者可以使用管理特權登錄設備，并輕易破壞網絡設備。
研究人員Niels Teusink指出，漏洞嚴重性很高，因為威脅行為者隨時可以發起一系列攻擊，完全損害設備的機密性、完整性和可用性。
“例如，有人可以更改防火墻設置以允許或阻止某些流量。他們還可以攔截流量或創建VPN賬戶來訪問設備背后的網絡。與像Zerologon漏洞相結合，這可能對中小企業是毀滅性的。”Teusink在規定的博客文章中表示。
多種Zyxel設備面臨風險
CVE-2020-29583漏洞影響許多Zyxel設備，主要是運行4.0版的設備。受影響的模塊還包括企業級Zyxel設備，包括統一安全網關（USG）、ATP系列、NCX系列、USG FLEX系列和VPN系列。
Teusink說，在荷蘭的1000臺設備中，大約有10％使用受影響的固件版本。大部分受影響的設備都在Zyxel網絡的邊緣使用，攻擊者可以輕松地對內部主機發起新的攻擊。
合勤科技發布補丁
Teusink于11月29日將漏洞信息通知了合勤科技。12月18日，合勤發布了固件補丁“ZLD V4.60 Patch1”。補丁程序目前可用于USG FLEx系列、ATP系列、USG和VPN系列。NCX系列補丁將于2021年4月發布。
合勤科技還發布了一份公告（https://www.zyxel.com/support/CVE-2020-29583.shtml），解釋該漏洞存在于硬編碼的未記錄賬戶“zyfwp”中，其密碼不可更改，密碼為“PrOw！aN_fXp”。該密碼以明文形式存儲，并且可能被惡意第三方利用。
據Zyxel稱，硬編碼憑據被用于通過FTP自動將固件更新分發到連接的訪問點。該公司將通過將于2021年4月發布的V6.10補丁1在其AP（接入點）控制器中解決此問題。合勤敦促用戶更新該公司的最新固件，以保護其設備。