Apa itu kerentanan zero-day Zyxel GS1900 dan berapa banyak perangkat yang terdampak?

Ini adalah celah yang sebelumnya tidak diketahui pada switch seri Zyxel GS1900 yang dieksploitasi penyerang sebelum perbaikan tersedia, mengompromikan hampir 1.000 perangkat di seluruh dunia. Zyxel kini telah merilis tambalannya.

Mengapa file konfigurasi dan kredensial switch yang dicuri berbahaya?

File konfigurasi switch secara efektif merupakan peta jaringan, dan kredensial yang dicuri dapat memungkinkan penyerang kembali lagi nanti—bahkan setelah penambalan—jika kata sandi tidak pernah diubah. Kredensial juga sering digunakan ulang di berbagai perangkat dan layanan, sehingga kata sandi yang dicuri dapat menjadi jalan masuk ke peralatan lain.

Mengapa zero-day pada perangkat keras jaringan menciptakan jendela paparan yang lebih panjang?

Zero-day berarti penyerang mengeksploitasi celah sebelum tambalan vendor tersedia, sehingga pertahanan tidak memiliki keunggulan awal. Perangkat keras jaringan juga memerlukan pembaruan firmware manual, perangkat sering terlupakan, dan perangkat ini jarang menjalankan perangkat lunak keamanan, sehingga kompromi dapat luput dari perhatian.

Kerentanan Zero-Day Zyxel GS1900 Menghantam Hampir 1.000 Switch

Q: Apa yang dicuri penyerang dari switch yang terkompromi?

Penyerang menggunakan celah tersebut untuk mencuri file konfigurasi dan kredensial dari perangkat yang terdampak.

Zyxel telah menambal sebuah zero-day pada switch jaringan seri GS1900 miliknya yang dieksploitasi penyerang untuk mengompromikan hampir 1.000 perangkat di seluruh dunia. Menurut laporan dari BleepingComputer, peretas menggunakan celah tersebut untuk mencuri file konfigurasi dan kredensial. Jika Anda menjalankan salah satu switch ini di rumah, di kantor kecil, atau di home lab, kerentanan zero-day Zyxel GS1900 adalah alasan yang baik untuk memeriksa firmware Anda hari ini.

Apa yang terjadi pada switch Zyxel GS1900

Fakta yang tersedia sejauh ini cukup jelas. Sebuah celah yang sebelumnya tidak diketahui pada seri GS1900 telah dieksploitasi sebelum perbaikan tersedia. Penyerang menggunakannya untuk membobol hampir 1.000 perangkat di seluruh dunia dan mengambil data sensitif, khususnya file konfigurasi dan kredensial. Zyxel kini telah merilis tambalan.

Laporan sumber tidak memberikan uraian teknis lengkap di sini, jadi kami tidak akan berspekulasi tentang cara kerja eksploitasi atau siapa yang berada di baliknya. Yang penting bagi pemilik perangkat sederhana: celah tersebut digunakan dalam serangan nyata, perbaikan kini tersedia, dan perangkat yang belum ditambal tetap terekspos.

Mengapa konfigurasi dan kredensial yang dicuri begitu berbahaya

Switch mungkin tampak seperti perangkat pipa yang membosankan, tetapi ia berada di pusat sebuah jaringan. File konfigurasinya secara efektif merupakan peta jaringan tersebut, dan dapat memuat detail tentang bagaimana perangkat terhubung dan bagaimana switch dikelola.

Kredensial memperburuk masalah. Login yang dicuri dapat memungkinkan penyerang kembali lagi nanti, bahkan setelah kerentanan ditambal, jika kata sandi tidak pernah diubah. Kredensial juga sering digunakan ulang di berbagai perangkat dan layanan, sehingga kata sandi yang diambil dari satu switch dapat menjadi jalan masuk ke peralatan lain.

Inilah sebabnya menambal saja mungkin tidak cukup setelah insiden seperti ini. Menutup lubang menghentikan intrusi baru melalui celah tersebut, tetapi tidak membatalkan data yang sudah diambil.

Apa arti zero-day bagi pemilik perangkat keras jaringan

Zero-day adalah kerentanan yang dieksploitasi penyerang sebelum vendor memiliki tambalan yang tersedia. Pertahanan tidak memiliki keunggulan awal, dan tidak ada yang bisa dipasang pada hari pertama.

Perangkat keras jaringan membuat hal ini lebih sulit dalam beberapa hal:

Pembaruan bersifat manual. Berbeda dengan ponsel atau laptop, banyak switch dan router tidak memperbarui dirinya sendiri. Seseorang harus masuk, mengunduh firmware, dan menerapkannya.
Perangkat terlupakan. Switch yang tersimpan di lemari dapat berjalan bertahun-tahun tanpa ada yang memeriksanya.
Visibilitas terbatas. Perangkat ini jarang menjalankan perangkat lunak keamanan, sehingga kompromi dapat luput dari perhatian.

Ketika zero-day muncul pada peralatan semacam ini, jendela antara serangan pertama dan saat pemilik menerapkan tambalan bisa panjang. Celah itulah tempat kompromi seperti hampir 1.000 yang dilaporkan di sini terakumulasi.

Cara memperkuat switch dan router di rumah dan di kantor kecil

Anda tidak dapat mencegah vendor merilis produk yang memiliki celah, tetapi Anda dapat mengurangi kemungkinan celah tersebut menjadi pelanggaran. Ini adalah praktik terbaik umum, dan berlaku jauh melampaui Zyxel.

Perbarui firmware. Jika Anda menggunakan switch seri GS1900, periksa saluran dukungan resmi Zyxel untuk firmware yang telah ditambal dan pasang.
Jauhkan antarmuka manajemen dari internet. Halaman administrasi web dan jarak jauh hanya boleh dapat dijangkau dari jaringan internal tepercaya atau koneksi manajemen khusus. Periksa port forwarding dan aturan firewall router Anda untuk memastikan tidak ada yang mengekspos switch.
Rotasi kredensial. Ubah kata sandi admin pada perangkat mana pun yang terdampak, dan ubah kata sandi lain yang tersimpan di dalam atau digunakan ulang dari konfigurasinya. Gunakan kata sandi yang unik dan kuat untuk setiap perangkat.
Tinjau konfigurasi. Cari akun, pengaturan, atau perubahan yang tidak Anda kenali. Jika ada yang tampak mencurigakan, pertimbangkan untuk memulihkan perangkat ke kondisi yang diketahui baik sebelum menerapkan ulang pengaturan.
Segmentasikan jaringan Anda. Pisahkan lalu lintas manajemen, perangkat tamu, dan gawai smart-home jika perangkat keras Anda memungkinkan, sehingga satu perangkat yang terkompromi memiliki jangkauan lebih kecil.
Buat inventaris. Catat setiap perangkat jaringan yang Anda miliki, modelnya, dan versi firmware-nya. Anda tidak dapat menambal apa yang telah Anda lupakan.

VPN dapat membantu melindungi lalu lintas Anda di jaringan yang tidak tepercaya, tetapi tidak memperbaiki switch rentan yang berada di jaringan Anda sendiri. Mengamankan perangkat keras itu sendiri adalah pekerjaan terpisah.

Apa Artinya Bagi Anda

Jika Anda memiliki switch Zyxel GS1900, anggap ini sebagai hal yang mendesak. Perbarui firmware, pastikan antarmuka manajemen tidak dapat dijangkau dari internet, dan anggap bahwa kredensial yang tersimpan pada perangkat yang terekspos mungkin telah terlihat. Mengubahnya adalah asuransi yang murah.

Jika Anda tidak memilikinya, pelajarannya tetap berlaku. Home lab dan kantor kecil sering menjalankan jenis perangkat jaringan tanpa pengawasan yang sama seperti organisasi besar, tetapi dengan lebih sedikit orang yang mengawasinya. Penyerang mengetahui hal itu, dan celah pada satu lini produk dapat diubah menjadi ratusan perangkat terkompromi dengan cepat.

Langkah Anda berikutnya

Kerentanan zero-day Zyxel GS1900 adalah pengingat bahwa perangkat keras jaringan layak mendapat perhatian yang sama seperti komputer dan ponsel Anda. Lakukan tiga hal ini hari ini:

Periksa firmware Zyxel Anda dan pasang versi yang telah ditambal jika Anda menjalankan switch seri GS1900.
Nonaktifkan manajemen yang menghadap internet sehingga halaman admin hanya dapat dijangkau dari dalam jaringan tepercaya Anda.
Rotasi kredensial Anda pada switch dan pada apa pun yang berbagi kata sandinya.

Kemudian pasang pengingat di kalender Anda untuk meninjau firmware pada semua perangkat jaringan Anda setiap beberapa bulan. Beberapa menit pemeliharaan jauh lebih mudah daripada membersihkan setelah kompromi.