Zyxel: el primer parche de sus switches GS1900 no frenaba el ataque
- Binarly ha comprobado que un exploit para los switches Zyxel GS1900 sigue funcionando aunque tengan el primer parche (2.90 Patch 2): permite ejecutar comandos como root.
- Zyxel ya ha publicado el firmware 2.90 Patch 3 para 10 modelos. El aviso no recoge una solución alternativa para quien no pueda actualizar.
- En agosto, GreyNoise registró ataques contra 996 switches de este tipo, 564 de ellos con las credenciales de fábrica. Cambiar la clave y limitar el acceso a la administración web también reduce el riesgo.
Los switches gestionables Zyxel GS1900 son muy habituales en oficinas pequeñas. La empresa de seguridad Binarly ha demostrado que el primer parche que Zyxel publicó para un fallo grave de estos equipos no bloquea el exploit: el mismo ataque sigue funcionando contra los switches con el firmware 2.90 Patch 2. Zyxel ha respondido con un segundo arreglo, el 2.90 Patch 3, publicado el 23 de octubre.
Qué falló en el primer parche
El problema está en cómo la interfaz web de administración procesa las peticiones. Un parámetro demasiado grande puede estropear un contador interno y hacer que el siguiente dato se escriba fuera del espacio reservado, hasta poder lanzar órdenes con permisos de administrador del sistema (root). El Patch 2 añadió una comprobación, pero la ejecutaba después de copiar los datos, cuando ya era tarde. El Patch 3 la hace antes y además limita el tamaño de la copia. Binarly valora el fallo con un 9,8 sobre 10; la ficha oficial lo deja en 8,8.
¿Se está explotando?
Binarly encontró el exploit en septiembre en un servidor abierto que también servía de control para una puerta trasera, así que los atacantes lo tenían antes de que se avisara al fabricante. GreyNoise, por su parte, informó de que en agosto se sacaron datos de 996 switches, de los cuales 564 conservaban las credenciales de fábrica. Ni los investigadores ni GreyNoise precisan si los equipos atacados tenían ya el primer parche, y el aviso de Zyxel no indica si el fallo nuevo se ha explotado.
Qué hacer
- Actualiza cada switch al firmware 2.90 Patch 3 de su modelo (GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 y -48HPv2).
- Cambia las credenciales de fábrica de todos los equipos de red si no lo has hecho.
- Limita quién llega a la administración web, por ejemplo desde una VLAN de gestión, y nunca la dejes accesible desde internet. Esto es una buena práctica general, no una indicación del aviso de Zyxel.
El aviso tampoco explica cómo saber si un switch ya fue comprometido ni si actualizar elimina un acceso previo del atacante. Si sospechas de uno, lo prudente es revisar su configuración y restaurarlo desde una copia conocida.
¿Quién administra los switches de tu oficina?
Hacemos inventario de la electrónica de red, la actualizamos y la separamos del resto de equipos.
Infórmate