Gen 04, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

L’account “nascosto” consente di prendere il controllo del dispositivo utilizzando livelli di privilegio root. E le credenziali erano visibili nel firmware…

Il 2020 è stato un vero calvario per i produttori di firewall e VPN, presi di mira da gruppi di pirati informatici che hanno sfruttato le (troppe) vulnerabilità emerse nel corso dei 12 mesi.

L’ultimo colpo di coda dell’anno trascorso conferma la tendenza e coinvolge Zyxel, i cui prodotti sarebbero vulnerabili ad attacchi in remoto a causa di una backdoor “dimenticata” dagli sviluppatori.

La falla di sicurezza (CVE-2020-29583) è stata annunciata dalla stessa azienda attraverso un report pubblicato su Internet, contestualmente al rilascio di una patch che la corregge.

Come si legge nel report, si tratta in realtà di un account amministrativo utilizzato per installare gli aggiornamenti firmware dei dispositivi, che utilizza delle credenziali (username “zyfwp”; password “PrOw!aN_fXp”) memorizzate nel codice del software di gestione.

A rendere particolarmente pericoloso il bug, c’è il fatto che le credenziali che consentono l’accesso in remoto sono facilmente recuperabili. Come spiegano i ricercatori di EYE in un rapporto pubblicato lo scorso 23 dicembre, username e password erano inseriti (in chiaro) all’interno del codice del software.

Chiunque, di conseguenza, avrebbe potuto accedere ai dispositivi con privilegi di amministratore alle appliance vulnerabili. L’elenco completo dei modelli interessati è riassunto in questa tabella. Secondo i ricercatori di EYE, i dispositivi esposti su Internet e vulnerabili all’attacco sarebbero più di 100.000.

Ora si apre una fase delicatissima, in cui tutte le aziende e gli enti che utilizzano uno dei prodotti compresi nell’elenco dovranno correre quanto prima ai ripari per aggiornare il firmware e “tappare” la backdoor.

Considerato che siamo nel mezzo delle feste natalizie, però, viene difficile immaginare un momento peggiore per ritrovarsi a gestire una situazione che potrebbe trasformarsi in una vera e propria emergenza.

Come se non bastasse, poi, gli aggiornamenti per i controller AP Zyxel (NXC2500 e NXC5500) non sono ancora disponibili e verranno rilasciati solo il prossimo 8 gennaio.