בממשק הניהול של חומות האש מסדרות ATP ו-USG FLEX של Zyxel יש חולשה שמאפשרת לתוקף להוריד קבצים מהמכשיר, ולפי התיאור גם להעלות אליו, דרך כתובת שנבנתה במיוחד. לא נדרשים שם משתמש וסיסמה. הציון הוא 7.5 מתוך 10, ומדצמבר 2024 החולשה רשומה כמנוצלת בפועל.

מה החולשה?

ממשק ניהול שמגיש קבצים מתרגם את הכתובת שהתבקשה לנתיב על הדיסק. התרגום אמור להישאר בתוך תחום מוגדר, וכאן הוא אינו נשאר: כתובת שנבנתה כך שהנתיב בה חורג מהתחום מחזירה קבצים שלא היו אמורים לצאת. הסיווג הוא CWE-22, מעבר בין תיקיות.

מה שהופך את זה לחמור דווקא במכשיר הזה הוא מה ששמור עליו. חומת אש מחזיקה את ההגדרות של הרשת, את חשבונות הניהול שלה ואת ההגדרות של ה-VPN שדרכו עובדים מתחברים מרחוק. קובץ הגדרות של חומת אש הוא מפרט מדויק של איך הרשת בנויה ומי נכנס אליה.

ויש כאן אי התאמה אחת ששווה לשים לב אליה. התיאור ברשומה מדבר גם על הורדה וגם על העלאה של קבצים, אבל הדירוג מסמן פגיעה בסודיות בלבד, בלי פגיעה בשלמות ובלי פגיעה בזמינות. כלומר הציון 7.5 מתאר חולשת קריאה, בעוד התיאור מרמז על אפשרות רחבה יותר. כששני אלה אינם מתלכדים, הזהירות אומרת להתייחס לתיאור.

בנקודה אחת הדירוג כן חד משמעי: לא נדרשים פרטי אימות ולא נדרשת הרשאה. הבקשה עובדת מהרשת, למי שאינו מזוהה כלל.

מי מושפע?

הרשומה מונה ארבע סדרות: ATP בקושחה V5.00 עד V5.38, USG FLEX בקושחה V5.00 עד V5.38, USG FLEX 50 ו-50W בקושחה V5.10 עד V5.38, ו-USG20 ו-USG20W-VPN בקושחה V5.10 עד V5.38.

אלה חומות אש של עסקים קטנים ובינוניים, ובישראל הן נפוצות בדיוק שם: משרדים, קליניקות, חברות עם עשרות עובדים, עסקים שקנו פעם מכשיר אחד שיעשה הכול. בשונה מציוד של ארגונים גדולים, למכשירים האלה אין בדרך כלל צוות שעוקב אחרי עדכוני קושחה, והם מתוחזקים לעיתים בידי ספק חיצוני שמגיע כשמשהו נשבר.

והמכשיר הזה, מעצם תפקידו, יושב בגבול הרשת. את זה אי אפשר להגדיר אחרת. מה שכן אפשר להגדיר הוא אם ממשק הניהול שלו נגיש משם, וזה ההבדל שקובע כאן.

האם מנוצלת בפועל?

כן. ב-3 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בשטח, עם מועד תיקון לגופים הפדרליים ב-24 בדצמבר 2024. זה חלון של שלושה שבועות, ועל מכשיר גבול שלושה שבועות הם מועד הדוק.

הרשומה פורסמה ב-NVD ב-27 בנובמבר 2024, ובאותו יום פרסם היצרן הודעת אבטחה שכתובה סביב איומים שנראו בשטח על חומות האש שלו, ולא כהודעה שגרתית על חולשה שתוקנה. גם זה אומר משהו על התקופה שבה היא יצאה.

מה עושים?

1. בדקו את גרסת הקושחה במכשיר. הטווח החשוף נגמר ב-V5.38 בכל ארבע הסדרות, ולכן מכשיר שרץ על V5.38 או מטה צריך עדכון. את גרסת היעד קחו מהודעת האבטחה של Zyxel.
2. סגרו את ממשק הניהול כלפי האינטרנט. המכשיר עצמו חייב לשבת בגבול, הממשק שלו לא. הגבילו את הגישה אליו לרשת הפנימית או לכתובות מוגדרות.
3. החליפו את חשבונות הניהול ואת הסודות של המכשיר. חולשה שמוציאה קבצים מוציאה גם את מה שבתוכם, ולכן סיסמאות הניהול, המפתחות המשותפים של ה-VPN וחשבונות המשתמשים צריכים להיחשב כחשופים אם המכשיר היה פגיע ונגיש מבחוץ.
4. עברו על חשבונות ה-VPN ועל ההגדרות וחפשו מה שלא אתם הגדרתם. במכשירי גבול הצעד הבא של תוקף הוא בדרך כלל חשבון VPN חדש שנראה לגיטימי, והוא ממשיך לעבוד גם אחרי עדכון הקושחה.