Zyxel har patchet en zero-day i sine netværksswitches i GS1900-serien, som angribere udnyttede til at kompromittere næsten 1.000 enheder verden over. Ifølge rapportering fra BleepingComputer brugte hackerne fejlen til at stjæle konfigurationsfiler og legitimationsoplysninger. Hvis du kører en af disse switches derhjemme, på et lille kontor eller i et hjemmelab, er Zyxel GS1900 zero-day-sårbarheden en god grund til at tjekke din firmware i dag.
Hvad skete der med Zyxel GS1900-switchene
De hidtil tilgængelige fakta er ligetil. En tidligere ukendt fejl i GS1900-serien blev udnyttet, før der fandtes en rettelse. Angribere brugte den til at trænge ind i tæt på 1.000 enheder rundt om i verden og trække følsomme data ud, specifikt konfigurationsfiler og legitimationsoplysninger. Zyxel har nu udgivet en patch.
Kilderapporteringen giver ikke en fuld teknisk gennemgang her, så vi vil ikke spekulere i, hvordan exploit'et fungerer, eller hvem der står bag. Det, der betyder noget for ejere, er enkelt: fejlen blev brugt i reelle angreb, en rettelse er nu tilgængelig, og uopdaterede enheder er fortsat eksponerede.
Hvorfor stjålne konfigurationer og legitimationsoplysninger er så farlige
En switch kan virke som et kedeligt stykke infrastruktur, men den sidder i midten af et netværk. Dens konfigurationsfil er reelt et kort over netværket, og den kan indeholde detaljer om, hvordan enheder er forbundet, og hvordan switchen administreres.
Legitimationsoplysninger gør problemet værre. Stjålne loginoplysninger kan lade en angriber vende tilbage senere, selv efter en sårbarhed er patchet, hvis adgangskoderne aldrig ændres. Legitimationsoplysninger genbruges også ofte på tværs af enheder og tjenester, så en adgangskode taget fra én switch kan blive en vej ind i andet udstyr.
Det er derfor, patching alene måske ikke er nok efter en hændelse som denne. At lukke hullet stopper nye indtrængninger gennem den fejl, men det gør ikke allerede stjålne data ugjorte.
Hvad en zero-day betyder for ejere af netværkshardware
En zero-day er en sårbarhed, som angribere udnytter, før leverandøren har en patch tilgængelig. Forsvarere har ingen forspring, og der er intet at installere på dag ét.
Netværkshardware gør dette sværere på flere måder:
- Opdateringer er manuelle. I modsætning til en telefon eller laptop opdaterer mange switches og routere ikke sig selv. Nogen skal logge ind, downloade firmware og anvende den.
- Enheder bliver glemt. En switch, der er gemt væk i et skab, kan køre i årevis, uden at nogen ser til den.
- Synlighed er begrænset. Disse enheder kører sjældent sikkerhedssoftware, så en kompromittering kan gå ubemærket hen.
Når en zero-day rammer denne slags udstyr, kan vinduet mellem de første angreb og det øjeblik, hvor ejerne anvender en patch, være langt. Det er i dette gab, kompromitteringer som de næsten 1.000 rapporterede her ophober sig.
Sådan hærder du switches og routere derhjemme og på små kontorer
Du kan ikke forhindre en leverandør i at levere en fejl, men du kan reducere sandsynligheden for, at en bliver til et brud. Dette er generelle bedste praksisser, og de gælder langt ud over Zyxel.
- Opdater firmwaren. Hvis du bruger en switch i GS1900-serien, så tjek Zyxels officielle supportkanaler for den patchede firmware og installer den.
- Hold administrationsgrænseflader væk fra internettet. Web- og fjernadministrationssider bør kun være tilgængelige fra et betroet internt netværk eller en dedikeret administrationsforbindelse. Tjek din routers port forwarding og firewallregler for at bekræfte, at intet eksponerer switchen.
- Rotér legitimationsoplysninger. Skift administratorens adgangskode på enhver berørt enhed, og skift alle andre adgangskoder, der var gemt i eller genbrugt fra dens konfiguration. Brug en unik, stærk adgangskode til hver enhed.
- Gennemgå konfigurationen. Led efter konti, indstillinger eller ændringer, du ikke genkender. Hvis noget ser forkert ud, så overvej at gendanne enheden til en kendt god tilstand, før du anvender indstillingerne igen.
- Segmentér dit netværk. Hold administrationstrafik, gæsteenheder og smart-home-enheder adskilt, hvor din hardware tillader det, så en kompromitteret enhed har mindre rækkevidde.
- Hold en oversigt. Skriv hver netværksenhed, du ejer, ned sammen med model og firmwareversion. Du kan ikke patche det, du har glemt.
En VPN kan hjælpe med at beskytte din trafik på utroede netværk, men den løser ikke en sårbar switch, der står på dit eget netværk. At sikre selve hardwaren er en separat opgave.
Hvad dette betyder for dig
Hvis du ejer en Zyxel GS1900-switch, så behandl dette som tidskritisk. Opdater firmwaren, sørg for at administrationsgrænsefladen ikke er tilgængelig fra internettet, og antag, at legitimationsoplysninger gemt på en eksponeret enhed kan være blevet set. At ændre dem er billig forsikring.
Hvis du ikke ejer en, gælder lektionen stadig. Hjemmelab og små kontorer kører ofte samme slags uovervågede netværksudstyr som større organisationer, men med færre folk til at holde øje med det. Angribere ved det, og en fejl i én produktlinje kan hurtigt forvandles til hundredvis af kompromitterede enheder.
Dine næste skridt
Zyxel GS1900 zero-day-sårbarheden er en påmindelse om, at netværkshardware fortjener samme opmærksomhed som dine computere og telefoner. Gør disse tre ting i dag:
- Tjek din Zyxel-firmware og installer den patchede version, hvis du kører en switch i GS1900-serien.
- Deaktiver internetvendt administration, så administratorsiden kun er tilgængelig indefra dit betroede netværk.
- Rotér dine legitimationsoplysninger på switchen og på alt, der delte dens adgangskoder.
Sæt derefter en påmindelse i din kalender om at gennemgå firmware på alle dine netværksenheder hver par måneder. Et par minutters vedligeholdelse er langt lettere end oprydningen efter en kompromittering.
