Zyxel пусна кръпка за zero-day уязвимост в своите мрежови комутатори от серията GS1900, която атакуващи са използвали, за да компрометират близо 1000 устройства по целия свят. Според репортаж на BleepingComputer хакерите са използвали уязвимостта, за да откраднат конфигурационни файлове и идентификационни данни. Ако използвате един от тези комутатори у дома, в малък офис или в домашна лаборатория, zero-day уязвимостта в Zyxel GS1900 е добра причина да проверите фърмуера си още днес.
Какво се случи с комутаторите Zyxel GS1900
Фактите, налични досега, са прости. Преди това неизвестна уязвимост в серията GS1900 е била експлоатирана, преди да съществува поправка. Атакуващи са я използвали, за да проникнат в близо 1000 устройства по света и да извлекат чувствителни данни, по-конкретно конфигурационни файлове и идентификационни данни. Zyxel вече е пуснал кръпка.
Източникът на репортажа не предоставя пълен технически анализ тук, така че няма да спекулираме как работи експлойтът или кой стои зад него. За собствениците важното е просто: уязвимостта е била използвана в реални атаки, вече има налична поправка, а непакетираните устройства остават изложени.
Защо откраднатите конфигурации и идентификационни данни са толкова опасни
Комутаторът може да изглежда като скучна част от инфраструктурата, но той стои в центъра на мрежата. Неговият конфигурационен файл е на практика карта на тази мрежа и може да съдържа подробности за това как устройствата са свързани и как се управлява комутаторът.
Идентификационните данни влошават проблема. Откраднатите данни за вход могат да позволят на атакуващ да се върне по-късно, дори след като уязвимостта бъде поправена, ако паролите никога не бъдат сменени. Идентификационните данни също често се използват повторно в различни устройства и услуги, така че парола, взета от един комутатор, може да стане начин за достъп до друго оборудване.
Ето защо самото пачване може да не е достатъчно след инцидент като този. Затварянето на дупката спира нови прониквания чрез тази уязвимост, но не отменя данните, които вече са били откраднати.
Какво означава zero-day за собствениците на мрежов хардуер
Zero-day е уязвимост, която атакуващите експлоатират, преди доставчикът да има налична кръпка. Защитниците нямат преднина и няма какво да инсталират в първия ден.
Мрежовият хардуер прави това по-трудно по няколко начина:
- Актуализациите са ръчни. За разлика от телефон или лаптоп, много комутатори и рутери не се актуализират сами. Някой трябва да влезе, да изтегли фърмуер и да го приложи.
- Устройствата биват забравени. Комутатор, затъкнат в шкаф, може да работи години, без никой да го погледне.
- Видимостта е ограничена. Тези устройства рядко работят със софтуер за сигурност, така че компрометирането може да остане незабелязано.
Когато zero-day се появи в такова оборудване, прозорецът между първите атаки и момента, в който собствениците приложат кръпка, може да бъде дълъг. Именно в тази разлика се натрупват компрометирания като близо 1000-те, докладвани тук.
Как да защитите комутатори и рутери у дома и в малки офиси
Не можете да попречите на доставчик да пусне уязвимост, но можете да намалите вероятността тя да се превърне в пробив. Това са общи добри практики и те важат далеч отвъд Zyxel.
- Актуализирайте фърмуера. Ако използвате комутатор от серията GS1900, проверете официалните канали за поддръжка на Zyxel за пачвания фърмуер и го инсталирайте.
- Дръжте интерфейсите за управление далеч от интернет. Уеб страниците и страниците за отдалечено администриране трябва да бъдат достъпни само от доверена вътрешна мрежа или специална връзка за управление. Проверете правилата за пренасочване на портове и защитната стена на рутера си, за да потвърдите, че нищо не излага комутатора.
- Сменете идентификационните данни. Сменете администраторската парола на всяко засегнато устройство и сменете всички други пароли, които са били съхранени в или използвани повторно от неговата конфигурация. Използвайте уникална, силна парола за всяко устройство.
- Прегледайте конфигурацията. Търсете акаунти, настройки или промени, които не разпознавате. Ако нещо изглежда нередно, обмислете възстановяване на устройството до известно добро състояние, преди да приложите отново настройките.
- Сегментирайте мрежата си. Дръжте трафика за управление, гостуващите устройства и умните домашни джаджи отделно, където хардуерът ви позволява това, така че едно компрометирано устройство да има по-малък обхват.
- Поддържайте инвентар. Записвайте всяко мрежово устройство, което притежавате, неговия модел и версията на фърмуера му. Не можете да пачнете това, което сте забравили.
VPN може да помогне за защита на трафика ви в недоверени мрежи, но не поправя уязвим комутатор, намиращ се в собствената ви мрежа. Защитата на самия хардуер е отделна задача.
Какво означава това за вас
Ако притежавате комутатор Zyxel GS1900, третирайте това като спешно. Актуализирайте фърмуера, уверете се, че интерфейсът за управление не е достъпен от интернет, и приемете, че идентификационните данни, съхранени на изложено устройство, може да са били видени. Смяната им е евтина застраховка.
Ако не притежавате такъв, урокът все още важи. Домашните лаборатории и малките офиси често използват същия вид мрежово оборудване без надзор като по-големите организации, но с по-малко хора, които го наблюдават. Атакуващите знаят това и уязвимост в една продуктова линия може бързо да се превърне в стотици компрометирани устройства.
Вашите следващи стъпки
Zero-day уязвимостта в Zyxel GS1900 е напомняне, че мрежовият хардуер заслужава същото внимание като вашите компютри и телефони. Направете тези три неща днес:
- Проверете фърмуера на Zyxel и инсталирайте пачваната версия, ако използвате комутатор от серията GS1900.
- Деактивирайте управлението, изложено на интернет, така че администраторската страница да е достъпна само от вашата доверена мрежа.
- Сменете идентификационните данни на комутатора и на всичко, което е споделяло неговите пароли.
След това поставете напомняне в календара си да преглеждате фърмуера на всичките си мрежови устройства на всеки няколко месеца. Няколко минути поддръжка са много по-лесни от почистването след компрометиране.
