הקופסה שמחברת בית או עסק קטן לאינטרנט דרך קו הטלפון נקראת בשפה המקצועית DSL CPE, ובפועל זה המודם או הנתב שמונח על המדף ושכמעט אף אחד לא נוגע בו שוב. בדגמים ותיקים של Zyxel נמצאה חולשה שמאפשרת למשתמש מזוהה להריץ פקודות של מערכת ההפעלה על המכשיר, דרך ממשק ה-Telnet שלו. הציון הוא 8.8, החולשה נמצאת בקטלוג החולשות המנוצלות של CISA, והרשומה מסומנת כחולשה במכשירים שאינם נתמכים.

מה החולשה?

ל-Telnet יש היסטוריה ארוכה מרוב הדברים שמחוברים לאינטרנט היום. זה פרוטוקול להתחברות לשורת פקודה של מכשיר מרוחק, הוא עתיק, הוא מעביר את התעבורה בלי הצפנה, וההמשך הטבעי שלו היום הוא SSH. בציוד תקשורת ותיק הוא עדיין יושב שם כממשק ניהול.

בתוך הממשק הזה יש פקודות ניהול, וכמה מהן לוקחות ערך שהמשתמש הקליד ומעבירות אותו הלאה אל מערכת ההפעלה של המכשיר. אם הערך הזה עובר בלי בדיקה, אפשר לכתוב במקומו לא ערך אלא פקודה, והמכשיר יריץ אותה. לזה קוראים הזרקת פקודות למערכת ההפעלה.

הנתב שולט על כל התעבורה שיוצאת מהרשת ונכנסת אליה, ולכן הרצת פקודות עליו היא לא בעיה של מכשיר אחד. היא נקודת תצפית על הרשת כולה.

מי מושפע?

הרשומה מצביעה על VMG4325-B10A בגרסת קושחה 1.00(AAFR.4)C0_20170615, ומונה בין המוצרים המושפעים גם את VMG1312-B10A, את VMG1312-B10B, את VMG1312-B10E ואת SBG3500-N000. התאריך שבתוך שם הקושחה, 2017, מספר את הסיפור טוב מכל תיאור.

בישראל מודמי DSL מהסוג הזה היו שנים הקופסה הסטנדרטית בבית ובעסק הקטן, והרבה מהם נשארו מחוברים גם אחרי שהבית עבר לחיבור אחר או אחרי שהספק שלח קופסה חדשה. מכשיר שעובד ולא מפריע לאף אחד לא מוחלף.

האם מנוצלת בפועל?

כן. החולשה נוספה ב-11 בפברואר 2025 לקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים בארצות הברית היה 4 במרץ 2025.

ציוד ביתי ותיק הוא יעד מועדף על מי שבונה רשתות של מכשירים נגועים, מהסיבה הפשוטה שאף אחד לא מסתכל עליו. מכשיר שאין לו מי שיעדכן אותו נשאר פגיע כל עוד הוא מחובר לחשמל.

מה עושים?

הדבר הראשון הוא לדעת מה יש לכם. שם הדגם מודפס על גוף המכשיר או על המדבקה שמתחתיו. אם כתוב שם VMG4325, VMG1312 או SBG3500, זה המכשיר שמדובר בו.

אין כאן עדכון שמתקין ומסיים. הרשומה מסמנת את המכשירים האלה כמכשירים שאינם נתמכים, כלומר קושחה מתוקנת אינה בדרך. הודעת האבטחה של Zyxel היא המקום לראות מה היצרן כן מציע, והיא מתייחסת לאותם דגמים ותיקים.

לכן הצעד המעשי הוא החלפה. אם הקופסה הזאת עוד מחברת אותכם לאינטרנט, בקשו מהספק מכשיר עדכני או קנו נתב חדש. בניגוד לרוב החולשות, כאן זה לא שיקול של נוחות מול זמן, כי אין גרסה שתסגור את החולשה.

עד שזה קורה, שני דברים מקטינים את החשיפה. החולשה דורשת משתמש מזוהה, ולכן סיסמת הניהול של המכשיר היא כן קו הגנה: החליפו אותה לסיסמה ייחודית אם היא עוד הסיסמה שהמכשיר הגיע איתה. ואם ממשק הניהול של המכשיר נגיש מהאינטרנט ולא רק מהרשת הפנימית, זה הדבר הראשון לכבות.