לכל נתב ביתי יש עמוד ניהול, אותו עמוד שמגיעים אליו בדפדפן לפי כתובת פנימית ושבו מגדירים סיסמת רשת או מעבירים פורט. בדגמים ותיקים של Zyxel נמצא שהעמוד הזה מריץ פקודות שלא התבקשו: בקשת POST שנבנתה במיוחד, שנשלחת על ידי מי שמחובר לממשק, גורמת למכשיר להריץ פקודות של מערכת ההפעלה שלו. הציון הוא 8.8, היצרן מסמן את הדגמים כציוד שאינו נתמך עוד, ו-CISA כבר הכניסה את החולשה לקטלוג שלה.
מה החולשה?
ממשק הניהול של נתב הוא אתר קטן שרץ על המכשיר עצמו. כשאתם שומרים הגדרה בעמוד הזה, הדפדפן שולח את מה שמילאתם, ומשהו בצד של המכשיר צריך לקבל את הערכים האלה ולעשות איתם משהו.
בציוד מהתקופה הזאת ה"משהו" הוא בדרך כלל תוכנית קטנה ונפרדת שהשרת מפעיל לכל בקשה ומעביר לה את השדות שהגיעו, שיטה שנקראת CGI. התוכנית הזאת היא גם המקום שבו הבאג יושב: ערך שהגיע מהבקשה נכנס אל פקודה שהמכשיר מריץ בלי שנבדק קודם, וכך מי ששלח את הבקשה קובע מה המכשיר יעשה ולא רק מה הוא ישמור. הקטגוריה היא הזרקת פקודות אל מערכת ההפעלה.
נקודה אחת ראויה לתשומת לב. החולשה דורשת שהשולח יהיה מחובר לממשק, מה שנשמע כמו מחסום. בנתב ביתי או של עסק קטן, להיות מחובר לממשק הניהול זה מצב רגיל לגמרי: לפעמים הסיסמה מוכרת לכמה אנשים, לפעמים היא רשומה על מדבקה, ולפעמים היא פשוט מה שהמכשיר הגיע איתו.
מי מושפע?
הדגם שהרשומה מפרטת הוא VMG4325-B10A בקושחה 1.00(AAFR.4)C0_20170615, וברשימת המוצרים המושפעים מופיעים גם VMG1312-B10A, VMG1312-B10B, VMG1312-B10E ו-SBG3500-N000.
אלה מכשירים מהעשור הקודם. בישראל הם הופיעו בבתים ובמשרדים קטנים בתור הקופסה שמגיעה עם החיבור, והחלק שמשנה כאן הוא שחלקם עוד מחוברים. נתב לא מודיע לבעליו שהוא יצא מתמיכה.
האם מנוצלת בפועל?
כן. ב-11 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של CISA, הרשימה של חולשות שידוע כי תוקפים עושים בהן שימוש בשטח, עם מועד תיקון של 4 במרץ 2025 לגופים הפדרליים בארצות הברית.
ההקשר הזה חשוב כדי להבין למה חולשה בדגם מ-2017 בכלל מעניינת מישהו ב-2025. מי שמחפש מכשירים להשתלט עליהם מחפש בדיוק את הציוד הזה: מחובר כל הזמן, בלי מי שיתחזק אותו, ובכמויות.
מה עושים?
זהו את הדגם שלכם. על גב המכשיר או מתחתיו מופיע השם, ואם הוא VMG4325, VMG1312 או SBG3500 אתם בטווח.
ודאו שלא ניתן להגיע לממשק הניהול מהאינטרנט. בהגדרות הנתב יש אפשרות של ניהול מרחוק, ובמכשיר שלא יקבל יותר תיקונים היא צריכה להיות כבויה. ממשק שנגיש רק מהרשת הפנימית מצמצם את מי שיכול לנסות בכלל.
החליפו את סיסמת הניהול לסיסמה ייחודית שאינה הסיסמה שהמכשיר הגיע איתה. החולשה מצריכה חיבור לממשק, ולכן הסיסמה הזאת היא ההגנה שבאמת נשארה בידיכם.
ותכננו החלפה של המכשיר. הודעת האבטחה של Zyxel מתייחסת לדגמים האלה כציוד ותיק, והרשומה מציינת שהם אינם נתמכים. כלומר אין גרסה שתסגור את זה, וכל מה שמעבר להחלפה הוא צמצום חשיפה ולא תיקון.