Zyxel硬编码凭据漏洞CVE-2020-29583

声明：该文章由作者（周鲁男）发表，转载此文章须经作者同意并请附上出处(0XUCN)及本页链接。。

近日，Zyxel官方更新发布了Zyxel防火墙和AP控制器的硬编码凭据漏洞公告，对应CVE编号：CVE-2020-29583，相关链接参考：https://www.zyxel.com/support/CVE-2020-29583.shtml

根据公告，在某些Zyxel防火墙和AP控制器中存在一个硬编码的后门账号，攻击者可使用此账号直接FTP连接目标设备。建议部署有该产品的用户尽快测试和更新到漏洞修复的版本。

影响范围

Firewalls设备主要影响以下版本：

ATP 系列运行固件版本：ZLD V4.60，建议更新补丁：ZLD V4.60 Patch1

USG 系列运行固件版本：ZLD V4.60，建议更新补丁：ZLD V4.60 Patch1

USG FLEX 系列运行固件版本：ZLD V4.60，建议更新补丁：ZLD V4.60 Patch1

VPN 系列运行固件版本：ZLD V4.60，建议更新补丁：ZLD V4.60 Patch1

AP controllers主要影响以下版本：

NXC2500，建议更新补丁：V6.10 Patch1（暂未发布）

NXC5500，建议更新补丁：V6.10 Patch1（暂未发布）

运行早期固件版本的ATP、USG、USG FLEX和VPN防火墙以及运行SD-OS的VPN系列不受影响。

Zyxel最新设备固件获取地址：

https://www.zyxel.com/support/support_landing.shtml

漏洞描述

根据分析，在某些Zyxel防火墙和AP控制器中存在一个硬编码的后门账号，账号密码为zyfwp/PrOw!aN_fXp，该帐号旨在通过FTP向连接的访问点提供自动固件更新。在具体的利用场景中可以通过该漏洞来植入后门程序，建议使用该产品的用户尽快升级漏洞修复的版本。

缓解措施

高危：目前漏洞细节和利用代码已经公开，预计很快会有僵尸网络利用这一漏洞进行自动化攻击，建议在互联网上部署有该设备的用户及时测试并升级到漏洞修复的版本。

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/