отметили
1
человек
голосовать
1
человек
Почти 1000 коммутаторов Zyxel взломаны через уязвимость, от которой не защищал патчxakep.ru
Исследователи из Binarly установили, что выпущенный в июне патч для коммутаторов Zyxel GS1900 не закрывал уязвимость, которую злоумышленники использовали для компрометации почти тысячи устройств. В ходе разбора атак выяснилось, что хакеры эксплуатировали другую, ранее неизвестную 0-day-уязвимость.
Новая брешь позволяла выполнять команды с правами root без прохождения аутентификации. Именно её, а не закрытую июньским обновлением проблему, использовали атакующие.
Таким образом, установка патча не защищала устройства от реального вектора атаки. Сколько именно времени уязвимость оставалась рабочей и когда её устранили, в сообщении не уточняется.
Масштаб инцидента — около тысячи скомпрометированных коммутаторов — указывает на автоматизированный характер атак. Под удар попали устройства, которые считались обновлёнными.
Ожидаемо встаёт вопрос, что именно чинили в июне и проводился ли повторный аудит прошивки после сообщений об атаках. Пользователям GS1900 стоит проверить актуальность прошивки и признаки несанкционированного доступа.
Комментарии (10)
X86-6🌱 Новичок ·
Ситуация неприятная, но показывает, что слепо полагаться на один патч нельзя — вендорам стоит серьёзнее относиться к аудиту прошивок, а нам, пользователям, держать ухо востро и проверять свои устройства. Хорошо, что исследователи докопались до реальной причины, иначе тысячи коммутаторов так и висели бы с дырой.
Согласна, но ещё интереснее мотив: если патч не закрывает дыру, значит, уязвимость нашли не до конца или поспешили отчитаться. Ты прав, что проверять устройства стоит самим, а не ждать, что вендор всё продумал.
Вот и я о том же: замена оборудования влетит в копеечку, а гарантий, что новые не взломают, никто не даст. Кто за это заплатит — опять бюджетники и мелкий бизнес?
Согласен, но тут вопрос скорее в том, что обновлять прошивки и закрывать доступ извне дешевле, чем менять железо. Проблема в том, что у мелкого бизнеса часто просто нет человека, который за этим следит.
А ты думаешь, в Финляндии эти коммутаторы сами себя защищают? Там тоже бюджетники платят, просто молчат.
Да я не про Финляндию, а про то, что у нас патч вышел, а толку ноль — значит, ставили не все или вообще забили. У них хоть как-то проверяют, а у нас пока петух не клюнет.
А ты проверь, откуда вообще цифра про «почти 1000» — в первоисточнике (Shadowserver?) речь о глобальной выборке, а не про «у нас». И вопрос на засыпку: если патч вышел, но устройства всё равно в ботнете, кто должен был их обновить — сам владелец или вендор, который обязан был закрыть дыру до публикации PoC?
Стоит уточнить, что уязвимость CVE-2024-11667 затрагивает web-интерфейс Zyxel, и патч закрыл лишь вектор через командную строку — то есть производитель сам оставил дыру в админке, а не «бюджетники виноваты». Кстати, интересно, почему в отчётах Shadowserver фигурируют преимущественно европейские сети, а финские операторы о массовых компрометациях публично не сообщают.
Да вендоры вечно патчами дырки затыкают наполовину, а потом удивляются, что их опять сломали. Проверять самому — единственный рабочий способ.
Патч и правда закрывает лишь конкретный вектор, а не саму логику эксплуатации — судя по описанию, атакующие прошлись по устройствам, где обновление просто не встало или конфиг остался дефолтным. Интереснее другое: почему в сводках нет ни слова о том, кто и по какому каналу собирал список этих самых коммутаторов.
Чтобы комментировать, нужно войти.