• 我的位置：
  • 首頁
  • -
  • 漏洞預警
  • -
  • 其他
  • -
    • Zyxel多個設備密碼硬編碼漏洞
    • CNNVD編號：未知
    • 危害等級： 高危 
    • CVE編號：CVE-2020-29583
    • 漏洞類型： 密碼硬編碼
    • 威脅類型：未知
    • 廠       商：深信服
    • 漏洞來源：深信服
    • 發(fā)布時間：2021-01-07
    • 更新時間：2021-01-13

    漏洞簡介

    1、組件介紹

    Zyxel是國際知名的網絡寬帶系統(tǒng)及解決方案的供應商。目前，全球有超過100000臺Zyxel防火墻、VPN網關和訪問點控制器。

    2、漏洞描述

    2021年01月05日，深信服安全團隊監(jiān)測到存在Zyxel多個設備密碼硬編碼漏洞的信息，漏洞編號：CVE-2020-29583，漏洞：高危。該漏洞是由于Zyxel 防火墻和 AP 控制器中存在一個admin 權限的默認賬戶“zyfwp”，其密碼硬編碼為 “PrOw!aN_fXp”，攻擊者可利用該漏洞暴露的帳戶以管理員權限登錄，獲取設備最高權限。

    3、漏洞分析

    Zyxel 防火墻和 AP 控制器中存在一個默認賬戶“zyfwp”，其密碼硬編碼為 “PrOw!aN_fXp”，允許用戶以admin權限登錄設備，該賬戶在設備自動更新固件時使用。該賬戶內置在設備固件中，無法從控制面板查看、刪除和修改密碼。

    漏洞公示

    暫無

    參考網站

    暫無

    受影響實體

    目前受影響的Zyxel設備版本：

    zyxel:ap_controller_nxc_2500

    zyxel:ap_controller_nxc_5500

    zyxel:atp_firmware: 4.60

    zyxel:usg_firmware: 4.60

    zyxel:usg_flex_firmware: 4.60

    zyxel:vpn_firmware: 4.60

    補丁

    1、官方修復建議

    當前官方已發(fā)布受影響版本的對應補?。ó斍肮俜揭寻l(fā)布最新版本），建議受影響的用戶及時更新官方的安全補?。皶r更新升級到最新版本）。鏈接如下：

    https://www.zyxel.com/support/download_landing.shtml

    2、深信服解決方案

    【深信服安全運營服務】深信服云端安全專家提供7*24小時持續(xù)的安全運營服務。對存在漏洞的用戶，檢查并更新了客戶防護設備的策略，確?？蛻舴雷o設備可以防御此漏洞風險。

    【深信服安全云眼】在漏洞爆發(fā)之初，已完成檢測更新，對所有用戶網站探測，保障用戶安全。不清楚自身業(yè)務是否存在漏洞的用戶，可注冊信服云眼賬號，獲取30天免費安全體驗。

    注冊地址：http://saas.sangfor.com.cn

    【深信服云鏡】在漏洞爆發(fā)第一時間即完成檢測能力的發(fā)布，部署了云鏡的用戶可以通過升級來快速檢測網絡中是否受該高危風險影響，避免被攻擊者利用。離線使用云鏡的用戶需要下載離線更新包來獲得漏洞檢測能力，可以連接云端升級的用戶可自動獲得漏洞檢測能力。