Zyxel a corrigé une vulnérabilité zero-day dans ses commutateurs réseau de la série GS1900 que des attaquants ont exploitée pour compromettre près de 1 000 appareils dans le monde. Selon un reportage de BleepingComputer, les pirates ont utilisé la faille pour dérober des fichiers de configuration et des identifiants. Si vous utilisez l'un de ces commutateurs chez vous, dans un petit bureau ou dans un labo domestique, la vulnérabilité zero-day du Zyxel GS1900 est une bonne raison de vérifier votre firmware dès aujourd'hui.
Ce qui est arrivé aux commutateurs Zyxel GS1900
Les faits disponibles à ce jour sont simples. Une faille jusqu'alors inconnue dans la série GS1900 était exploitée avant qu'un correctif n'existe. Les attaquants l'ont utilisée pour s'introduire dans près de 1 000 appareils à travers le monde et en extraire des données sensibles, précisément des fichiers de configuration et des identifiants. Zyxel a désormais publié un correctif.
La source du reportage ne fournit pas ici de détail technique complet, nous ne spéculerons donc pas sur le fonctionnement de l'exploit ni sur ses auteurs. Ce qui compte pour les propriétaires est simple : la faille a été utilisée dans de véritables attaques, un correctif est maintenant disponible, et les appareils non corrigés restent exposés.
Pourquoi des configurations et des identifiants volés sont si dangereux
Un commutateur peut sembler n'être qu'un élément banal de plomberie réseau, mais il se situe au centre d'un réseau. Son fichier de configuration est en pratique une carte de ce réseau, et il peut contenir des détails sur la façon dont les appareils sont connectés et dont le commutateur est administré.
Les identifiants aggravent le problème. Des identifiants volés peuvent permettre à un attaquant de revenir plus tard, même après la correction d'une vulnérabilité, si les mots de passe ne sont jamais changés. Les identifiants sont aussi fréquemment réutilisés d'un appareil et d'un service à l'autre, si bien qu'un mot de passe pris sur un commutateur peut devenir un moyen d'accéder à d'autres équipements.
C'est pourquoi la correction seule peut ne pas suffire après un incident de ce type. Boucher le trou empêche de nouvelles intrusions via cette faille, mais cela n'annule pas les données déjà dérobées.
Ce qu'un zero-day signifie pour les propriétaires de matériel réseau
Un zero-day est une vulnérabilité que des attaquants exploitent avant que le fournisseur ne dispose d'un correctif. Les défenseurs n'ont aucune longueur d'avance, et il n'y a rien à installer le premier jour.
Le matériel réseau rend cela plus difficile à plusieurs égards :
- Les mises à jour sont manuelles. Contrairement à un téléphone ou à un ordinateur portable, de nombreux commutateurs et routeurs ne se mettent pas à jour eux-mêmes. Quelqu'un doit se connecter, télécharger le firmware et l'appliquer.
- Les appareils sont oubliés. Un commutateur rangé dans un placard peut fonctionner pendant des années sans que personne ne s'en occupe.
- La visibilité est limitée. Ces appareils exécutent rarement des logiciels de sécurité, si bien qu'une compromission peut passer inaperçue.
Quand un zero-day frappe ce type d'équipement, la fenêtre entre les premières attaques et le moment où les propriétaires appliquent un correctif peut être longue. C'est dans cet intervalle que s'accumulent des compromissions comme les près de 1 000 signalées ici.
Comment renforcer les commutateurs et routeurs à la maison et dans les petits bureaux
Vous ne pouvez pas empêcher un fournisseur de livrer une faille, mais vous pouvez réduire les chances qu'elle devienne une intrusion. Voici des bonnes pratiques générales, qui s'appliquent bien au-delà de Zyxel.
- Mettez à jour le firmware. Si vous utilisez un commutateur de la série GS1900, consultez les canaux de support officiels de Zyxel pour le firmware corrigé et installez-le.
- Gardez les interfaces d'administration hors d'Internet. Les pages d'administration web et à distance ne devraient être accessibles que depuis un réseau interne de confiance ou une connexion d'administration dédiée. Vérifiez la redirection de ports et les règles de pare-feu de votre routeur pour confirmer que rien n'expose le commutateur.
- Renouvelez les identifiants. Changez le mot de passe administrateur sur tout appareil affecté, ainsi que tout autre mot de passe stocké dans sa configuration ou réutilisé à partir de celle-ci. Utilisez un mot de passe unique et robuste pour chaque appareil.
- Examinez la configuration. Recherchez des comptes, des paramètres ou des modifications que vous ne reconnaissez pas. Si quelque chose semble anormal, envisagez de restaurer l'appareil dans un état sain connu avant de réappliquer les paramètres.
- Segmentez votre réseau. Séparez le trafic d'administration, les appareils invités et les objets connectés de la maison d'objets connectés lorsque votre matériel le permet, afin qu'un appareil compromis ait moins de portée.
- Tenez un inventaire. Notez chaque appareil réseau que vous possédez, son modèle et sa version de firmware. Vous ne pouvez pas corriger ce que vous avez oublié.
Un VPN peut aider à protéger votre trafic sur des réseaux non fiables, mais il ne corrige pas un commutateur vulnérable présent sur votre propre réseau. Sécuriser le matériel lui-même est une tâche distincte.
Ce que cela signifie pour vous
Si vous possédez un commutateur Zyxel GS1900, considérez cela comme urgent. Mettez à jour le firmware, assurez-vous que l'interface d'administration n'est pas accessible depuis Internet, et partez du principe que les identifiants stockés sur un appareil exposé ont pu être vus. Les changer est une assurance peu coûteuse.
Si vous n'en possédez pas, la leçon s'applique quand même. Les labos domestiques et les petits bureaux utilisent souvent le même type de matériel réseau sans surveillance que les grandes organisations, mais avec moins de personnes pour le surveiller. Les attaquants le savent, et une faille dans une seule gamme de produits peut rapidement se transformer en centaines d'appareils compromis.
Vos prochaines étapes
La vulnérabilité zero-day du Zyxel GS1900 rappelle que le matériel réseau mérite la même attention que vos ordinateurs et vos téléphones. Faites ces trois choses aujourd'hui :
- Vérifiez votre firmware Zyxel et installez la version corrigée si vous utilisez un commutateur de la série GS1900.
- Désactivez l'administration exposée à Internet afin que la page d'administration ne soit accessible que depuis votre réseau de confiance interne.
- Renouvelez vos identifiants sur le commutateur et sur tout ce qui partageait ses mots de passe.
Puis mettez un rappel dans votre agenda pour vérifier le firmware de tous vos appareils réseau tous les quelques mois. Quelques minutes de maintenance sont bien plus faciles que de nettoyer après une compromission.
