Společnost Zyxel opravila zranitelnost zero-day ve svých síťových přepínačích řady GS1900, kterou útočníci zneužili ke kompromitaci téměř 1 000 zařízení po celém světě. Podle reportáže BleepingComputer použili hackeři tuto chybu ke krádeži konfiguračních souborů a přihlašovacích údajů. Pokud provozujete jeden z těchto přepínačů doma, v malé kanceláři nebo v domácí laboratoři, je zranitelnost zero-day v Zyxel GS1900 dobrým důvodem, proč si dnes zkontrolovat firmware.

Co se stalo s přepínači Zyxel GS1900

Dosud dostupná fakta jsou přímočará. Dosud neznámá chyba v řadě GS1900 byla zneužívána ještě předtím, než existovala oprava. Útočníci ji použili k proniknutí do téměř 1 000 zařízení po celém světě a k získání citlivých dat, konkrétně konfiguračních souborů a přihlašovacích údajů. Společnost Zyxel nyní vydala záplatu.

Zdrojová reportáž zde neuvádí úplný technický rozbor, takže nebudeme spekulovat o tom, jak exploit funguje ani kdo za ním stojí. Pro vlastníky je důležité jednoduché: chyba byla použita při skutečných útocích, oprava je nyní k dispozici a neopravená zařízení zůstávají vystavena riziku.

Proč jsou ukradené konfigurace a přihlašovací údaje tak nebezpečné

Přepínač se může zdát jako nudná součást infrastruktury, ale stojí v centru sítě. Jeho konfigurační soubor je v podstatě mapou dané sítě a může obsahovat podrobnosti o tom, jak jsou zařízení propojena a jak je přepínač spravován.

Přihlašovací údaje problém zhoršují. Ukradená přihlášení mohou útočníkovi umožnit vrátit se později, dokonce i poté, co je zranitelnost opravena, pokud se hesla nikdy nezmění. Přihlašovací údaje se také často znovu používají napříč zařízeními a službami, takže heslo získané z jednoho přepínače se může stát cestou do dalšího vybavení.

To je důvod, proč samotné záplatování nemusí po incidentu, jako je tento, stačit. Uzavření díry zastaví nové průniky touto chybou, ale neodčiní data, která již byla odcizena.

Co znamená zero-day pro vlastníky síťového hardwaru

Zero-day je zranitelnost, kterou útočníci zneužijí dříve, než má dodavatel k dispozici záplatu. Obránci nemají žádný náskok a první den není co nainstalovat.

Síťový hardware to v několika ohledech ztěžuje:

  • Aktualizace jsou manuální. Na rozdíl od telefonu nebo notebooku se mnoho přepínačů a routerů neaktualizuje samo. Někdo se musí přihlásit, stáhnout firmware a nainstalovat jej.
  • Na zařízení se zapomíná. Přepínač zastrčený ve skříni může běžet roky, aniž by se na něj někdo podíval.
  • Viditelnost je omezená. Tato zařízení zřídka provozují bezpečnostní software, takže kompromitace může zůstat nepovšimnuta.

Když zero-day zasáhne tento typ vybavení, okno mezi prvními útoky a okamžikem, kdy vlastníci použijí záplatu, může být dlouhé. Právě v této mezeře se hromadí kompromitace, jako je těch téměř 1 000 zde uvedených.

Jak zpevnit přepínače a routery doma a v malých kancelářích

Nemůžete zabránit tomu, aby dodavatel vydal chybný produkt, ale můžete snížit pravděpodobnost, že se z chyby stane incident. Toto jsou obecné osvědčené postupy a platí daleko za hranicemi Zyxelu.

  1. Aktualizujte firmware. Pokud používáte přepínač řady GS1900, zkontrolujte oficiální kanály podpory Zyxel a nainstalujte opravený firmware.
  2. Držte správcovská rozhraní mimo internet. Webové a vzdálené administrační stránky by měly být dostupné pouze z důvěryhodné interní sítě nebo z vyhrazeného správcovského připojení. Zkontrolujte pravidla přesměrování portů a firewallu na routeru a ověřte, že nic nevystavuje přepínač.
  3. Obměňte přihlašovací údaje. Změňte administrátorské heslo na každém postiženém zařízení a změňte všechna další hesla, která byla uložena v jeho konfiguraci nebo z ní znovu použita. Pro každé zařízení použijte jedinečné a silné heslo.
  4. Zkontrolujte konfiguraci. Hledejte účty, nastavení nebo změny, které nepoznáváte. Pokud něco vypadá podezřele, zvažte obnovení zařízení do známého dobrého stavu před opětovným použitím nastavení.
  5. Segmentujte svou síť. Oddělte správcovský provoz, hostující zařízení a chytrá domácí zařízení, kde to váš hardware umožňuje, aby kompromitované zařízení mělo menší dosah.
  6. Veďte inventář. Zapište si každé síťové zařízení, které vlastníte, jeho model a verzi firmwaru. Nemůžete opravit to, na co jste zapomněli.

VPN může pomoci chránit váš provoz v nedůvěryhodných sítích, ale neopraví zranitelný přepínač ve vaší vlastní síti. Zabezpečení samotného hardwaru je samostatný úkol.

Co to pro vás znamená

Pokud vlastníte přepínač Zyxel GS1900, berte to jako časově naléhavé. Aktualizujte firmware, ujistěte se, že správcovské rozhraní není dostupné z internetu, a předpokládejte, že přihlašovací údaje uložené ve vystaveném zařízení mohly být viděny. Jejich změna je levná pojistka.

Pokud žádný nevlastníte, lekce stále platí. Domácí laboratoře a malé kanceláře často provozují stejný typ neobsluhovaného síťového vybavení jako větší organizace, ale s menším počtem lidí, kteří na něj dohlížejí. Útočníci to vědí a chyba v jedné produktové řadě se může rychle proměnit ve stovky kompromitovaných zařízení.

Vaše další kroky

Zranitelnost zero-day v Zyxel GS1900 je připomínkou, že síťový hardware si zaslouží stejnou pozornost jako vaše počítače a telefony. Udělejte dnes tyto tři věci:

  • Zkontrolujte firmware Zyxel a nainstalujte opravenou verzi, pokud používáte přepínač řady GS1900.
  • Vypněte správu vystavenou internetu, aby byla administrátorská stránka dostupná pouze z vaší důvěryhodné sítě.
  • Obměňte přihlašovací údaje na přepínači a na všem, co sdílelo jeho hesla.

Poté si do kalendáře přidejte připomínku, abyste každých několik měsíců zkontrolovali firmware na všech svých síťových zařízeních. Několik minut údržby je mnohem snazší než řešení následků kompromitace.