Zyxel硬编码凭据漏洞CVE-2020-29583
声明:该文章由作者(周鲁男)发表,转载此文章须经作者同意并请附上出处(0XUCN)及本页链接。。
近日,Zyxel官方更新发布了Zyxel防火墙和AP控制器的硬编码凭据漏洞公告,对应CVE编号:CVE-2020-29583,相关链接参考:https://www.zyxel.com/support/CVE-2020-29583.shtml
根据公告,在某些Zyxel防火墙和AP控制器中存在一个硬编码的后门账号,攻击者可使用此账号直接FTP连接目标设备。建议部署有该产品的用户尽快测试和更新到漏洞修复的版本。
影响范围
Firewalls设备主要影响以下版本:
ATP 系列运行固件版本:ZLD V4.60,建议更新补丁:ZLD V4.60 Patch1
USG 系列运行固件版本:ZLD V4.60,建议更新补丁:ZLD V4.60 Patch1
USG FLEX 系列运行固件版本:ZLD V4.60,建议更新补丁:ZLD V4.60 Patch1
VPN 系列运行固件版本:ZLD V4.60,建议更新补丁:ZLD V4.60 Patch1
AP controllers主要影响以下版本:
NXC2500,建议更新补丁:V6.10 Patch1(暂未发布)
NXC5500,建议更新补丁:V6.10 Patch1(暂未发布)
运行早期固件版本的ATP、USG、USG FLEX和VPN防火墙以及运行SD-OS的VPN系列不受影响。
Zyxel最新设备固件获取地址:
https://www.zyxel.com/support/support_landing.shtml
漏洞描述
根据分析,在某些Zyxel防火墙和AP控制器中存在一个硬编码的后门账号,账号密码为zyfwp/PrOw!aN_fXp,该帐号旨在通过FTP向连接的访问点提供自动固件更新。在具体的利用场景中可以通过该漏洞来植入后门程序,建议使用该产品的用户尽快升级漏洞修复的版本。
缓解措施
高危:目前漏洞细节和利用代码已经公开,预计很快会有僵尸网络利用这一漏洞进行自动化攻击,建议在互联网上部署有该设备的用户及时测试并升级到漏洞修复的版本。
[超站]友情链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
关注数据与安全,洞悉企业级服务市场:https://www.ijiandao.com/
- 1 牢记嘱托 感恩奋进 4928350
- 2 黎真主党称爆炸事件可视为以色列宣战 4994999
- 3 微信朋友圈可以发实况图了 4852317
- 4 南航首架C919飞机成功首航 4752166
- 5 小英被曝塌房后两天掉粉近10万 4630522
- 6 “普拉桑”二登上海 4511635
- 7 初代网红张大奕宣布关闭十年网店 4435590
- 8 女生称取快递被男生多次贴身猥亵 4328609
- 9 公安机关重拳打击网络谣言 4276202
- 10 民政局回应小英曾送走两个女孩 4121862