Zyxel har lappet en nulldagssårbarhet i sine GS1900-serienettverkssvitsjer som angripere utnyttet for å kompromittere nesten 1000 enheter verden over. Ifølge rapportering fra BleepingComputer brukte hackerne feilen til å stjele konfigurasjonsfiler og påloggingsinformasjon. Hvis du kjører en av disse svitsjene hjemme, på et lite kontor eller i et hjemmelaboratorium, er Zyxel GS1900-nulldagssårbarheten en god grunn til å sjekke fastvaren din i dag.
Hva skjedde med Zyxel GS1900-svitsjene
Faktaene som er tilgjengelige så langt er enkle. En tidligere ukjent feil i GS1900-serien ble utnyttet før det fantes en rettelse. Angripere brukte den til å bryte seg inn i nærmere 1000 enheter rundt om i verden og hente ut sensitive data, nærmere bestemt konfigurasjonsfiler og påloggingsinformasjon. Zyxel har nå utgitt en lapp.
Kildens rapportering gir ikke en full teknisk gjennomgang her, så vi vil ikke spekulere i hvordan utnyttelsen fungerer eller hvem som står bak. Det som betyr noe for eiere er enkelt: feilen ble brukt i reelle angrep, en rettelse er nå tilgjengelig, og ulappede enheter er fortsatt eksponert.
Hvorfor stjålne konfigurasjoner og påloggingsinformasjon er så farlig
En svitsj kan virke som et kjedelig stykke infrastruktur, men den sitter i sentrum av et nettverk. Konfigurasjonsfilen er i praksis et kart over nettverket, og den kan inneholde detaljer om hvordan enheter er koblet sammen og hvordan svitsjen administreres.
Påloggingsinformasjon gjør problemet verre. Stjålne innlogginger kan la en angriper komme tilbake senere, selv etter at en sårbarhet er lappet, hvis passordene aldri endres. Påloggingsinformasjon gjenbrukes også ofte på tvers av enheter og tjenester, så et passord tatt fra én svitsj kan bli en vei inn til annet utstyr.
Dette er grunnen til at lapping alene kanskje ikke er nok etter en hendelse som dette. Å tette hullet stopper nye inntrengninger gjennom den feilen, men det angrer ikke data som allerede er hentet ut.
Hva en nulldagssårbarhet betyr for eiere av nettverksmaskinvare
En nulldagssårbarhet er en sårbarhet som angripere utnytter før leverandøren har en lapp tilgjengelig. Forsvarere har ingen forsprang, og det er ingenting å installere på dag én.
Nettverksmaskinvare gjør dette vanskeligere på flere måter:
- Oppdateringer er manuelle. I motsetning til en telefon eller bærbar PC oppdaterer mange svitsjer og rutere seg ikke selv. Noen må logge inn, laste ned fastvare og installere den.
- Enheter blir glemt. En svitsj som står i et skap kan kjøre i årevis uten at noen ser på den.
- Synligheten er begrenset. Disse enhetene kjører sjelden sikkerhetsprogramvare, så en kompromittering kan gå ubemerket hen.
Når en nulldagssårbarhet rammer denne typen utstyr, kan vinduet mellom de første angrepene og øyeblikket eierne installerer en lapp være langt. Det er i dette gapet kompromitteringer som de nesten 1000 rapporterte her akkumuleres.
Hvordan herde svitsjer og rutere hjemme og på små kontorer
Du kan ikke hindre at en leverandør leverer en feil, men du kan redusere sjansen for at en blir et brudd. Dette er generelle beste praksiser, og de gjelder langt utover Zyxel.
- Oppdater fastvaren. Hvis du bruker en svitsj i GS1900-serien, sjekk Zyxels offisielle støttekilder for den lappede fastvaren og installer den.
- Hold administrasjonsgrensesnittet borte fra internett. Nettsider og eksterne administrasjonssider bør bare være tilgjengelige fra et klarert internt nettverk eller en dedikert administrasjonstilkobling. Sjekk ruterens portvideresending og brannmurregler for å bekrefte at ingenting eksponerer svitsjen.
- Roter påloggingsinformasjon. Endre adminpassordet på enhver berørt enhet, og endre alle andre passord som var lagret i eller gjenbrukt fra konfigurasjonen. Bruk et unikt, sterkt passord for hver enhet.
- Gå gjennom konfigurasjonen. Se etter kontoer, innstillinger eller endringer du ikke kjenner igjen. Hvis noe ser galt ut, bør du vurdere å gjenopprette enheten til en kjent god tilstand før du legger inn innstillingene på nytt.
- Segmenter nettverket ditt. Hold administrasjonstrafikk, gjesteenheter og smarte hjem-enheter atskilt der maskinvaren din tillater det, slik at én kompromittert enhet har mindre rekkevidde.
- Hold en oversikt. Skriv ned hver nettverksenhet du eier, modellen og fastvareversjonen. Du kan ikke lappe det du har glemt.
En VPN kan hjelpe med å beskytte trafikken din på uklarerte nettverk, men den fikser ikke en sårbar svitsj som står på ditt eget nettverk. Å sikre selve maskinvaren er en separat oppgave.
Hva dette betyr for deg
Hvis du eier en Zyxel GS1900-svitsj, bør du behandle dette som tidskritisk. Oppdater fastvaren, sørg for at administrasjonsgrensesnittet ikke er tilgjengelig fra internett, og anta at påloggingsinformasjon lagret på en eksponert enhet kan ha blitt sett. Å endre den er billig forsikring.
Hvis du ikke eier en, gjelder læringen fortsatt. Hjemmelaboratorier og små kontorer kjører ofte samme type uovervåkede nettverksutstyr som større organisasjoner, men med færre folk som følger med. Angripere vet det, og en feil i én produktlinje kan raskt gjøres om til hundrevis av kompromitterte enheter.
Dine neste steg
Zyxel GS1900-nulldagssårbarheten er en påminnelse om at nettverksmaskinvare fortjener samme oppmerksomhet som datamaskinene og telefonene dine. Gjør disse tre tingene i dag:
- Sjekk Zyxel-fastvaren din og installer den lappede versjonen hvis du kjører en svitsj i GS1900-serien.
- Slå av internettvendt administrasjon slik at adminpanelet bare er tilgjengelig fra det klarerte nettverket ditt.
- Roter påloggingsinformasjonen på svitsjen og på alt som delte passordene dens.
Sett deretter en påminnelse i kalenderen om å gjennomgå fastvaren på alle nettverksenhetene dine hver noen måneder. Noen minutters vedlikehold er langt enklere enn å rydde opp etter en kompromittering.
