Zyxel hat einen Zero-Day in seinen Netzwerk-Switches der GS1900-Serie gepatcht, den Angreifer ausgenutzt haben, um fast 1.000 Geräte weltweit zu kompromittieren. Laut einem Bericht von BleepingComputer nutzten die Hacker die Schwachstelle, um Konfigurationsdateien und Zugangsdaten zu stehlen. Wenn Sie einen dieser Switches zu Hause, in einem kleinen Büro oder in einem Heimlabor betreiben, ist die Zyxel-GS1900-Zero-Day-Schwachstelle ein guter Grund, heute Ihre Firmware zu überprüfen.
Was mit den Zyxel-GS1900-Switches passiert ist
Die bisher verfügbaren Fakten sind eindeutig. Eine zuvor unbekannte Schwachstelle in der GS1900-Serie wurde ausgenutzt, bevor ein Fix existierte. Angreifer nutzten sie, um in fast 1.000 Geräte weltweit einzudringen und sensible Daten zu entnehmen, konkret Konfigurationsdateien und Zugangsdaten. Zyxel hat nun einen Patch veröffentlicht.
Der Quellbericht liefert hier keine vollständige technische Analyse, daher werden wir nicht spekulieren, wie der Exploit funktioniert oder wer dahintersteckt. Was für Besitzer zählt, ist einfach: Die Schwachstelle wurde in echten Angriffen ausgenutzt, ein Fix ist jetzt verfügbar, und ungepatchte Geräte bleiben exponiert.
Warum gestohlene Konfigurationen und Zugangsdaten so gefährlich sind
Ein Switch mag wie ein langweiliges Stück Infrastruktur wirken, aber er sitzt im Zentrum eines Netzwerks. Seine Konfigurationsdatei ist praktisch eine Karte dieses Netzwerks und kann Details darüber enthalten, wie Geräte verbunden sind und wie der Switch verwaltet wird.
Zugangsdaten verschlimmern das Problem. Gestohlene Logins können es einem Angreifer ermöglichen, später zurückzukehren, selbst nachdem eine Schwachstelle gepatcht wurde, wenn die Passwörter nie geändert werden. Zugangsdaten werden zudem häufig über Geräte und Dienste hinweg wiederverwendet, sodass ein von einem Switch erbeutetes Passwort zu einem Weg in andere Geräte werden kann.
Deshalb kann Patching allein nach einem Vorfall wie diesem nicht ausreichen. Das Schließen der Lücke stoppt neue Eindringlinge durch diese Schwachstelle, aber es macht bereits entwendete Daten nicht ungeschehen.
Was ein Zero-Day für Besitzer von Netzwerk-Hardware bedeutet
Ein Zero-Day ist eine Schwachstelle, die Angreifer ausnutzen, bevor der Hersteller einen Patch verfügbar hat. Verteidiger haben keinen Vorsprung, und am ersten Tag gibt es nichts zu installieren.
Netzwerk-Hardware macht dies aus mehreren Gründen schwieriger:
- Updates sind manuell. Anders als ein Smartphone oder Laptop aktualisieren sich viele Switches und Router nicht selbst. Jemand muss sich anmelden, die Firmware herunterladen und sie installieren.
- Geräte geraten in Vergessenheit. Ein Switch, der in einem Schrank verstaut ist, kann jahrelang laufen, ohne dass jemand ihn beachtet.
- Sichtbarkeit ist begrenzt. Diese Geräte führen selten Sicherheitssoftware aus, sodass eine Kompromittierung unbemerkt bleiben kann.
Wenn ein Zero-Day in dieser Art von Ausrüstung auftritt, kann das Zeitfenster zwischen den ersten Angriffen und dem Moment, in dem Besitzer einen Patch installieren, lang sein. In dieser Lücke sammeln sich Kompromittierungen wie die hier gemeldeten fast 1.000 an.
Wie man Switches und Router zu Hause und in kleinen Büros härten kann
Sie können nicht verhindern, dass ein Hersteller eine Schwachstelle ausliefert, aber Sie können die Wahrscheinlichkeit verringern, dass daraus ein Sicherheitsvorfall wird. Dies sind allgemeine Best Practices, und sie gelten weit über Zyxel hinaus.
- Aktualisieren Sie die Firmware. Wenn Sie einen Switch der GS1900-Serie verwenden, prüfen Sie die offiziellen Support-Kanäle von Zyxel auf die gepatchte Firmware und installieren Sie sie.
- Halten Sie Verwaltungsschnittstellen vom Internet fern. Web- und Fernverwaltungsseiten sollten nur aus einem vertrauenswürdigen internen Netzwerk oder über eine dedizierte Verwaltungsverbindung erreichbar sein. Überprüfen Sie Portweiterleitungen und Firewall-Regeln Ihres Routers, um sicherzustellen, dass nichts den Switch exponiert.
- Rotieren Sie Zugangsdaten. Ändern Sie das Admin-Passwort auf jedem betroffenen Gerät und ändern Sie alle anderen Passwörter, die in seiner Konfiguration gespeichert oder von ihr wiederverwendet wurden. Verwenden Sie für jedes Gerät ein eindeutiges, starkes Passwort.
- Überprüfen Sie die Konfiguration. Achten Sie auf Konten, Einstellungen oder Änderungen, die Sie nicht erkennen. Wenn etwas verdächtig aussieht, erwägen Sie, das Gerät auf einen bekanntermaßen guten Zustand zurückzusetzen, bevor Sie Einstellungen erneut anwenden.
- Segmentieren Sie Ihr Netzwerk. Halten Sie Verwaltungsverkehr, Gastgeräte und Smart-Home-Geräte getrennt, wo Ihre Hardware dies erlaubt, damit ein kompromittiertes Gerät weniger Reichweite hat.
- Führen Sie ein Inventar. Notieren Sie jedes Netzwerkgerät, das Sie besitzen, sein Modell und seine Firmware-Version. Sie können nicht patchen, was Sie vergessen haben.
Ein VPN kann helfen, Ihren Datenverkehr in nicht vertrauenswürdigen Netzwerken zu schützen, aber es behebt keinen verwundbaren Switch in Ihrem eigenen Netzwerk. Die Absicherung der Hardware selbst ist eine separate Aufgabe.
Was das für Sie bedeutet
Wenn Sie einen Zyxel-GS1900-Switch besitzen, behandeln Sie dies als zeitkritisch. Aktualisieren Sie die Firmware, stellen Sie sicher, dass die Verwaltungsschnittstelle nicht aus dem Internet erreichbar ist, und gehen Sie davon aus, dass auf einem exponierten Gerät gespeicherte Zugangsdaten eingesehen worden sein könnten. Sie zu ändern ist eine günstige Versicherung.
Wenn Sie keinen besitzen, gilt die Lektion trotzdem. Heimlabore und kleine Büros betreiben oft dieselbe Art unbeaufsichtigter Netzwerkausrüstung wie größere Organisationen, aber mit weniger Personen, die darauf achten. Angreifer wissen das, und eine Schwachstelle in einer einzelnen Produktlinie kann schnell in Hunderte kompromittierte Geräte verwandelt werden.
Ihre nächsten Schritte
Die Zyxel-GS1900-Zero-Day-Schwachstelle ist eine Erinnerung daran, dass Netzwerk-Hardware dieselbe Aufmerksamkeit verdient wie Ihre Computer und Smartphones. Erledigen Sie heute diese drei Dinge:
- Überprüfen Sie Ihre Zyxel-Firmware und installieren Sie die gepatchte Version, wenn Sie einen Switch der GS1900-Serie betreiben.
- Deaktivieren Sie internetseitige Verwaltung, sodass die Admin-Seite nur aus Ihrem vertrauenswürdigen Netzwerk erreichbar ist.
- Rotieren Sie Ihre Zugangsdaten auf dem Switch und auf allem, was seine Passwörter geteilt hat.
Dann setzen Sie eine Erinnerung in Ihren Kalender, um alle paar Monate die Firmware aller Ihrer Netzwerkgeräte zu überprüfen. Ein paar Minuten Wartung sind weit einfacher als die Aufräumarbeiten nach einer Kompromittierung.
