WORLDTECHZyxel schließt Zero-Day-Lücke, die zur Übernahme von knapp 1.000 GS1900-Switches genutzt wurde
Zyxel hat eine Zero-Day-Lücke in seinen Netzwerk-Switches der Serie GS1900 geschlossen, die Angreifer bereits ausnutzten, bevor es einen Patch gab. Berichten zufolge wurden dabei weltweit knapp 1.000 Geräte kompromittiert, und die Angreifer konnten Konfigurationsdateien sowie Zugangsdaten entwenden.
Wie die Angreifer eindrangen
Die Angreifer setzten einen Exploit für Remote Code Execution ohne vorherige Authentifizierung gegen die GS1900-Switches ein. Für den Angriff war also kein gültiger Login nötig, um Code auf dem Gerät auszuführen.
Noch bevor Zyxel einen Fix veröffentlichte, waren auf diesem Weg knapp 1.000 Switches kompromittiert worden.
Anderer Fehler als die Juni-Lücke
Forscher von Binarly stellten fest, dass der Exploit einen bislang unbekannten Fehler ausnutzte. Es handelte sich nicht um die Schwachstelle, die Zyxel im Juni geschlossen hatte, sodass der frühere Patch diesen Zugangsweg nicht versperrte.
GreyNoise berichtete, dass ein Akteur um den 17. August 996 GS1900-Switches in 48 Ländern ausgenutzt hat. Die Kampagne reichte damit weit über eine einzelne Region hinaus.
Was abgegriffen wurde
Den Berichten zufolge verschafften sich die Angreifer über die kompromittierten Switches Zugriff auf Konfigurationsdateien und Zugangsdaten. Mit solchen Informationen lässt sich weiter in die Netzwerke vordringen, die die Geräte betreiben.
Offene Fragen
- Welche Organisationen betrieben die kompromittierten Switches?
- Wurde der Patch auf alle betroffenen GS1900-Geräte eingespielt?