ב-16 ביוני Zyxel פרסמה עדכון קושחה למתגי GS1900 וסגרה חולשה שאפשרה לתוקף בלי שם משתמש להריץ פקודות על המתג. ב-28 בספטמבר חוקרי Binarly לקחו את קוד התקיפה שמצאו בתיקייה חשופה על שרת של תוקפים, והריצו אותו על כל עשר גרסאות הקושחה שקיבלו את התיקון ההוא. הוא עבד על כולן.

מה קרה

מתג כזה מנוהל דרך דף שנפתח בדפדפן, והתוכנה שמטפלת בבקשות אליו שומרת את הפרמטרים של כל בקשה בשטח זיכרון קבוע שיש בו מקום ל-140 רשומות. מה שהיא לא עשתה מעולם זה לבדוק כמה ארוך פרמטר בודד. קוד התקיפה שולח בקשה שבה הפרמטר ה-140 ארוך מדי, הוא נמשך מעבר לשטח שהוקצה ודורס את המונה שסופר כמה פרמטרים נשמרו. התיקון מיוני הוסיף בדיקה של המונה, אבל הבדיקה רצה אחרי שהפרמטר הארוך כבר הועתק פנימה, כך שהיא מגלה את הבעיה אחרי שהדריסה כבר קרתה. הקושחה החדשה בודקת את המונה לפני ההעתקה וגם מגבילה את אורך מה שמועתק. הקושחה המתוקנת עלתה לאתר בסוף אוקטובר, ההתראה פורסמה ב-3 בנובמבר, ולמי שלא יכול לעדכן היא לא מציעה הגנה חלופית.

לגבי מה שהתוקף מקבל בסוף, שני הגורמים לא מנסחים את זה אותו דבר. Binarly כותבת שהפקודות רצות בהרשאות root, כלומר ההרשאה הגבוהה ביותר במתג, ושדי בכך שהתוקף יצליח להגיע לממשק הניהול ברשת. Zyxel מתארת בהתראה שלה תוקף שנמצא ברשת המקומית.

הניצול בפועל קדם לגילוי. לפי GreyNoise הוא התחיל סביב 17 באוגוסט, ונפרצו 996 מתגים ב-48 מדינות. התוקפים הורידו לכל מתג סקריפט שאסף את קובצי התצורה, את ה-hash של סיסמת root ומידע על הרשת סביבו. לפי אותו דוח, 564 מהמתגים האלה עבדו עוד עם פרטי האימות שהגיעו מהיצרן. GreyNoise מייחסת את הפעילות לקבוצה דוברת סינית שהיא מקשרת לקמפיין שחברת Acronis עוקבת אחריו בשם Red Heron. הייחוס הוא של החוקרים ולא של Zyxel, ואף גורם עצמאי לא אישר אותו.

למה זה חשוב לכם

GS1900 הוא לא ציוד של חוות שרתים. זה המתג הזול והמנוהל שיושב בארון התקשורת של משרד קטן, של מרפאה, של בית ספר ולא מעט פעמים גם של בית עם רשת מסודרת, ואף אחד לא נוגע בו שנים. מתג שנפרץ יושב בדיוק באמצע התעבורה של כל מי שמחובר אליו, ובלי שום סימן חיצוני: אין חלון שנפתח ואין הודעה. שני המספרים שמעניינים כאן הם 564 מתוך 996, יותר מחצי שעוד עבדו עם סיסמת היצרן, וחמישה החודשים שבין התיקון שנראה כמו סוף הסיפור ובין זה שסוגר את מה שהוא השאיר פתוח.

מה עושים?

אם יש מתג GS1900 במשרד או בבית, עדכנו אותו לקושחה האחרונה של אותו דגם מאתר Zyxel. העדכון מיוני אינו מספיק, וצריך את זה שיצא בסוף אוקטובר.

החליפו את סיסמת ה-root של המתג אם היא עוד זו שהגיעה מהיצרן, וגם אם לא. מכשיר שממשק הניהול שלו היה נגיש בחודשים האחרונים כדאי להתייחס אליו כאל מכשיר שפרטיו נלקחו: החליפו סיסמה, עברו על התצורה ועל המשתמשים שמוגדרים בו, וודאו שלא נוספה שם הגדרה שאינכם מכירים.

ודאו שממשק הניהול אינו נגיש מהאינטרנט, והגבילו את הגישה אליו גם מתוך הרשת לכמה מחשבים מוגדרים. כאן, די בתוקף שהגיע לרשת הפנימית.

זה נכון לכל קופסה עם ממשק ניהול בדפדפן, ולא רק למתג: נתב, מצלמת אבטחה, מקליט וידאו, מערכת בקרה. סיסמת היצרן אינה סוד, היא מופיעה במדריך שכל אחד יכול להוריד.