Zyxel выпустила патч для zero-day уязвимости в своих сетевых коммутаторах серии GS1900, которую злоумышленники использовали для компрометации почти 1000 устройств по всему миру. Согласно публикации BleepingComputer, хакеры использовали эту уязвимость для кражи файлов конфигурации и учётных данных. Если вы используете один из таких коммутаторов дома, в небольшом офисе или в домашней лаборатории, zero-day уязвимость в Zyxel GS1900 — веский повод проверить прошивку уже сегодня.
Что произошло с коммутаторами Zyxel GS1900
Известные на данный момент факты просты. Ранее неизвестная уязвимость в серии GS1900 эксплуатировалась ещё до того, как появилось исправление. Злоумышленники использовали её для проникновения почти в 1000 устройств по всему миру и извлечения конфиденциальных данных, а именно файлов конфигурации и учётных данных. Сейчас Zyxel выпустила патч.
В исходной публикации не приводится полного технического разбора, поэтому мы не будем строить предположения о том, как работает эксплойт и кто за ним стоит. Для владельцев важно одно: уязвимость использовалась в реальных атаках, исправление теперь доступно, а необновлённые устройства остаются подверженными риску.
Почему украденные конфигурации и учётные данные так опасны
Коммутатор может показаться скучным элементом инфраструктуры, но он находится в центре сети. Его файл конфигурации по сути представляет собой карту этой сети и может содержать сведения о том, как подключены устройства и как управляется коммутатор.
Учётные данные усугубляют проблему. Украденные логины могут позволить злоумышленнику вернуться позже, даже после установки патча, если пароли так и не будут изменены. Учётные данные также часто повторно используются на разных устройствах и в сервисах, поэтому пароль, полученный с одного коммутатора, может стать способом проникновения в другое оборудование.
Именно поэтому после подобного инцидента одного патча может быть недостаточно. Закрытие бреши останавливает новые вторжения через эту уязвимость, но не отменяет того, что данные уже были похищены.
Что zero-day означает для владельцев сетевого оборудования
Zero-day — это уязвимость, которую злоумышленники эксплуатируют до того, как у производителя появляется патч. У защитников нет форы, и в первый день им нечего установить.
С сетевого оборудования это усложняется по нескольким причинам:
- Обновления выполняются вручную. В отличие от телефона или ноутбука, многие коммутаторы и маршрутизаторы не обновляются сами. Кто-то должен войти в систему, скачать прошивку и установить её.
- Устройства забываются. Коммутатор, убранный в шкаф, может работать годами, и никто на него не смотрит.
- Видимость ограничена. На таких устройствах редко работает защитное ПО, поэтому компрометация может остаться незамеченной.
Когда zero-day появляется в оборудовании такого рода, окно между первыми атаками и моментом, когда владельцы установят патч, может быть долгим. Именно в этот промежуток накапливаются такие компрометации, как почти 1000 описанных здесь случаев.
Как укрепить коммутаторы и маршрутизаторы дома и в небольших офисах
Вы не можете помешать производителю выпустить уязвимое ПО, но можете снизить вероятность того, что это приведёт к взлому. Ниже приведены общие передовые практики, и они применимы далеко за пределами Zyxel.
- Обновите прошивку. Если вы используете коммутатор серии GS1900, проверьте официальные каналы поддержки Zyxel и установите исправленную прошивку.
- Держите интерфейсы управления закрытыми от интернета. Веб-страницы и страницы удалённого администрирования должны быть доступны только из доверенной внутренней сети или через выделенное подключение для управления. Проверьте проброс портов и правила брандмауэра на маршрутизаторе, чтобы убедиться, что коммутатор нигде не выставлен наружу.
- Смените учётные данные. Измените пароль администратора на любом затронутом устройстве, а также все другие пароли, которые хранились в его конфигурации или повторно использовались из неё. Используйте уникальный надёжный пароль для каждого устройства.
- Проверьте конфигурацию. Ищите учётные записи, настройки или изменения, которые вы не узнаёте. Если что-то выглядит подозрительно, рассмотрите возможность восстановления устройства в заведомо исправное состояние перед повторным применением настроек.
- Сегментируйте сеть. Разделяйте трафик управления, гостевые устройства и устройства умного дома, если ваше оборудование это позволяет, чтобы скомпрометированное устройство имело меньший радиус действия.
- Ведите инвентаризацию. Записывайте каждое сетевое устройство, которым владеете, его модель и версию прошивки. Нельзя обновить то, о чём вы забыли.
VPN может помочь защитить ваш трафик в недоверенных сетях, но он не исправляет уязвимый коммутатор в вашей собственной сети. Защита самого оборудования — отдельная задача.
Что это значит для вас
Если вы владеете коммутатором Zyxel GS1900, отнеситесь к этому как к срочному делу. Обновите прошивку, убедитесь, что интерфейс управления недоступен из интернета, и исходите из того, что учётные данные, хранившиеся на открытом устройстве, могли быть замечены. Сменить их — дешёвая страховка.
Если у вас такого нет, урок всё равно применим. Домашние лаборатории и небольшие офисы часто используют такое же сетевое оборудование без присмотра, как и крупные организации, но за ним наблюдает меньше людей. Злоумышленники это знают, и уязвимость в одной линейке продуктов может быстро превратиться в сотни скомпрометированных устройств.
Ваши следующие шаги
Zero-day уязвимость в Zyxel GS1900 — напоминание о том, что сетевое оборудование заслуживает такого же внимания, как ваши компьютеры и телефоны. Сделайте сегодня три вещи:
- Проверьте прошивку Zyxel и установите исправленную версию, если вы используете коммутатор серии GS1900.
- Отключите управление, доступное из интернета, чтобы страница администратора была доступна только изнутри вашей доверенной сети.
- Смените учётные данные на коммутаторе и на всём, что использовало его пароли.
Затем поставьте в календаре напоминание проверять прошивки всех сетевых устройств раз в несколько месяцев. Несколько минут обслуживания гораздо проще, чем разбираться с последствиями компрометации.
