超级管理员账号外泄,Zyxel用户面临严重安全威胁

知名网络设备商合勤科技Zyxel近日被安全人员发现了一个非常糟糕的漏洞,有超过10多万台网络设备产品,被内置一个超级管理员账号,而且是被写死的。

根据Eye Control Netherlands安全研究人员通报,这个被命名为CVE-2020-29583的漏洞显示,能让黑客通过SSH接口或者网页管理员控制面板直接对相关设备进行root级别访问,情事相当严重。Zyxel官方也紧急推出固件更新,希望用户能尽快行动。

受到影响的产品包括,ATP系列、USG系列、USG FLEX系列和VPN系列,还有NXC2500和NXC5500 AP控制器等,这基本上已涵盖大部分的主流设备,能在版本号为4.60的固件中轻易发现明码的超级管理员账号。防火墙、VPN和接入点控制器都将受到威胁。黑客可以尽情地利用这个账号轻而易举的启动大规模安全攻击。

企业已紧急为此在官网上发出更新,目前需更新的机型型号及进度如下图。

相关更新已可在官方网站中下载。(Source:Zyxel)

不过还有部分设备如NXC系列更新可能要等到4月份才有办法发送。而在固件更新后将能顺利删除掉超级管员账号zyfwp,值得一提的是,此次反而是一些老旧设备或更早期的固件版本没有问题,还不需要急着更新,还有运行SD-OS的VPN系列产品也不受影响。

专家表示,若不尽早修复将可能对企业造成毁灭性的打击,尤其Zyxel是中小企业流行使用的网通设备,应对大规模安全攻击是相当吃力,通常连定期更新固件的都很少。此漏洞将能令黑客完整的访问企业网络,窃取信息甚至破坏设备,不可不慎。

(首图来源:Flickr/Norlando PobreCC BY 2.0)

发表评论