Zyxel 방화벽, VPN 제품에서 비밀 백도어 계정 발견돼

 

 

Secret Backdoor Account Found in Several Zyxel Firewall, VPN Products

 

Zyxel이 펌웨어 내 문서화되지 않은 하드코딩된 비밀 계정으로 인해 발생하는 치명적인 취약점을 수정하는 패치를 공개했습니다. 공격자가 이를 악용할 경우 관리자 권한이 있는 계정으로 로그인 해 네트워킹 기기를 해킹할 수 있게 됩니다.

 

CVE-2020-29583 (CVSS 점수 7.8)로 등록된 이 취약점은 USG(Unified Security Gateway), USG FLEX, ATP, VPN 방화벽 제품을 포함한 다양한 Zyxel 기기에 설치된 펌웨어 버전 4.60에 존재합니다.

 

EYE의 연구원인 Niels Teusink는 지난 11월 29일 Zyxel에 해당 취약점을 제보했으며, 이후 회사는 12월 18일 펌웨어 패치 (ZLD V4.60 Patch1)를 공개했습니다.

 

Zyxel에서 공개한 권고문에 따르면, 문서화되지 않은 계정 ("zyfwp")은 변경되지 않는 비밀번호("PrOw!aN_fXp")와 함께 제공되고 있었습니다. 이 비밀번호는 심지어 평문 상태로 저장되어 있었으며, 악의를 가진 제 3자가 SSH 서버나 웹 인터페이스에 관리자 권한으로 로그인할 수 있도록 허용합니다.

 

Zyxel은 FTP를 통해 연결된 액세스 포인트에 자동 펌웨어 업데이트를 제공하기 위해 하드코딩된 크리덴셜을 사용한다고 밝혔습니다.

 

Teusink은 네덜란드에 위치한 기기 1,000대 중 약 10%가 취약한 펌웨어 버전을 사용 중이라는 점을 강조하며, 취약점 악용이 비교적 쉬운 편이기 때문에 더욱 심각하다고 말했습니다.

 

Teusink는 이에 대해 아래와 같이 밝혔습니다.

 

“사용자 'zyfwp'가 관리자 권한을 가지고 있기 때문에, 이 취약점은 매우 심각합니다.”

 

“공격자는 해당 기기의 기밀성, 무결성, 가용성을 완전히 손상시킬 수 있게 됩니다.”

 

“예를 들어, 누군가가 방화벽에서 특정 트래픽을 허용하거나 차단하도록 설정할 수 있습니다. 또한 트래픽에 인터셉트하거나 네트워크에 대한 접근 권한을 얻기 위한 VPN 계정을 생성할 수 있습니다. Zerologon과 같은 취약점과 함께 결합하여 사용할 경우 이는 중소기업에 치명적일 수 있습니다.”

 

또한 이 회사는 2021년 4월 출시될 V6.10 Patch1을 통해 액세스 포인트(AP) 내 존재하는 문제를 수정할 것으로 예상됩니다.

 

사용자들은 이 취약점과 관련된 공격을 예방하기 위해 필요한 펌웨어 업데이트를 설치할 것을 권장합니다.

 

 

 

 

 

출처:

https://thehackernews.com/2021/01/secret-backdoor-account-found-in.html

https://www.zyxel.com/support/CVE-2020-29583.shtml

https://www.eyecontrol.nl/blog/undocumented-user-account-in-zyxel-products.html