Zyxel heeft een zero-day gepatcht in zijn netwerkswitches uit de GS1900-serie die aanvallers hebben misbruikt om bijna 1.000 apparaten wereldwijd te compromitteren. Volgens berichtgeving van BleepingComputer gebruikten de hackers de kwetsbaarheid om configuratiebestanden en inloggegevens te stelen. Als je een van deze switches thuis, in een klein kantoor of in een homelab draait, is de zero-day-kwetsbaarheid in de Zyxel GS1900 een goede reden om vandaag je firmware te controleren.
Wat er is gebeurd met de Zyxel GS1900-switches
De feiten die tot nu toe beschikbaar zijn, zijn duidelijk. Een voorheen onbekende kwetsbaarheid in de GS1900-serie werd misbruikt voordat er een oplossing bestond. Aanvallers gebruikten deze om in bijna 1.000 apparaten over de hele wereld in te breken en gevoelige gegevens buit te maken, specifiek configuratiebestanden en inloggegevens. Zyxel heeft nu een patch uitgebracht.
De bronberichtgeving geeft hier geen volledige technische uiteenzetting, dus we zullen niet speculeren over hoe het misbruik werkt of wie erachter zit. Wat voor eigenaren belangrijk is, is eenvoudig: de kwetsbaarheid is gebruikt in echte aanvallen, er is nu een oplossing beschikbaar en niet-gepatchte apparaten blijven blootgesteld.
Waarom gestolen configuraties en inloggegevens zo gevaarlijk zijn
Een switch lijkt misschien een saai stuk leidingwerk, maar hij staat in het centrum van een netwerk. Het configuratiebestand is in feite een kaart van dat netwerk en kan details bevatten over hoe apparaten zijn verbonden en hoe de switch wordt beheerd.
Inloggegevens maken het probleem erger. Gestolen aanmeldingen kunnen een aanvaller later laten terugkeren, zelfs nadat een kwetsbaarheid is gepatcht, als de wachtwoorden nooit worden gewijzigd. Inloggegevens worden ook vaak hergebruikt across apparaten en diensten, dus een wachtwoord dat van één switch is gestolen, kan een manier worden om toegang te krijgen tot andere apparatuur.
Daarom is patchen alleen mogelijk niet voldoende na een incident als dit. Het dichten van het gat stopt nieuwe indringingen via die kwetsbaarheid, maar het draait gegevens die al zijn buitgemaakt niet terug.
Wat een zero-day betekent voor eigenaren van netwerkhardware
Een zero-day is een kwetsbaarheid die aanvallers misbruiken voordat de leverancier een patch beschikbaar heeft. Verdedigers hebben geen voorsprong en er is op dag één niets om te installeren.
Netwerkhardware maakt dit op een paar manieren moeilijker:
- Updates zijn handmatig. Anders dan een telefoon of laptop werken veel switches en routers zichzelf niet bij. Iemand moet inloggen, firmware downloaden en deze toepassen.
- Apparaten worden vergeten. Een switch die in een kast is weggeborgen, kan jaren draaien zonder dat iemand ernaar kijkt.
- Zichtbaarheid is beperkt. Deze apparaten draaien zelden beveiligingssoftware, dus een compromis kan onopgemerkt blijven.
Wanneer een zero-day in dit soort apparatuur opduikt, kan het venster tussen de eerste aanvallen en het moment waarop eigenaren een patch toepassen lang zijn. In dat gat hopen compromissen zoals de bijna 1.000 die hier worden gemeld, zich op.
Hoe je switches en routers thuis en in kleine kantoren kunt harden
Je kunt niet voorkomen dat een leverancier een kwetsbaarheid uitlevert, maar je kunt de kans verkleinen dat er een inbreuk van wordt. Dit zijn algemene best practices en ze gelden ruim buiten Zyxel.
- Werk de firmware bij. Als je een switch uit de GS1900-serie gebruikt, controleer de officiële supportkanalen van Zyxel voor de gepatchte firmware en installeer deze.
- Houd beheerinterfaces van het internet. Web- en beheerpagina's op afstand mogen alleen bereikbaar zijn vanaf een vertrouwd intern netwerk of een speciale beheerverbinding. Controleer de port forwarding en firewallregels van je router om te bevestigen dat niets de switch blootstelt.
- Roteer inloggegevens. Wijzig het beheerderswachtwoord op elk getroffen apparaat en wijzig alle andere wachtwoorden die in de configuratie waren opgeslagen of daarvan waren hergebruikt. Gebruik een uniek, sterk wachtwoord voor elk apparaat.
- Controleer de configuratie. Zoek naar accounts, instellingen of wijzigingen die je niet herkent. Als iets verdacht lijkt, overweeg het apparaat terug te zetten naar een bekende goede staat voordat je instellingen opnieuw toepast.
- Segmenteer je netwerk. Houd beheerverkeer, gastapparaten en smart-home-gadgets gescheiden waar je hardware dit toelaat, zodat één gecompromitteerd apparaat minder bereik heeft.
- Houd een inventaris bij. Noteer elk netwerkapparaat dat je bezit, het model en de firmwareversie. Je kunt niet patchen wat je bent vergeten.
Een VPN kan helpen je verkeer op onvertrouwde netwerken te beschermen, maar het lost een kwetsbare switch op je eigen netwerk niet op. De hardware zelf beveiligen is een aparte taak.
Wat dit voor jou betekent
Als je een Zyxel GS1900-switch bezit, behandel dit dan als tijdgevoelig. Werk de firmware bij, zorg ervoor dat de beheerinterface niet vanaf het internet bereikbaar is en ga ervan uit dat inloggegevens die op een blootgesteld apparaat waren opgeslagen, mogelijk zijn gezien. Ze wijzigen is goedkope verzekering.
Als je er geen bezit, geldt de les nog steeds. Homelabs en kleine kantoren draaien vaak dezelfde soort onbeheerde netwerkapparatuur als grotere organisaties, maar met minder mensen die erop letten. Aanvallers weten dat, en een kwetsbaarheid in één productlijn kan snel worden omgezet in honderden gecompromitteerde apparaten.
Je volgende stappen
De zero-day-kwetsbaarheid in de Zyxel GS1900 is een herinnering dat netwerkhardware dezelfde aandacht verdient als je computers en telefoons. Doe vandaag deze drie dingen:
- Controleer je Zyxel-firmware en installeer de gepatchte versie als je een switch uit de GS1900-serie draait.
- Schakel beheer dat vanaf het internet bereikbaar is uit, zodat de beheerderspagina alleen bereikbaar is vanaf je vertrouwde netwerk.
- Roteer je inloggegevens op de switch en op alles wat zijn wachtwoorden deelde.
Zet daarna een herinnering in je agenda om elke paar maanden de firmware van al je netwerkapparaten te controleren. Een paar minuten onderhoud is veel eenvoudiger dan opruimen na een compromis.
