Beveiligingsonderzoekers van EYE Control, opgericht door ex-medewerkers van de Nederlandse inlichtingendienst AIVD en Fox-IT, hebben ontdekt dat een recente update met versienummer 4.60 voor tenminste 28 apparaten van Zyxel een backdoor toevoegt aan de apparaten. Middels de update worden de apparaten voorzien van een niet gedocumenteerd gebruikersaccount met admin-rechten. Het wachtwoord voor het gebruikersaccount is onbeveiligd aanwezig in een deel van de firmware. Dat meldt EYE Control in een blogbericht. Zyxel heeft kort daarna een patch verspreid.
Het gebruikersaccount is voor beheerders van Zyxel-apparatuur niet zichtbaar. Het wachtwoord dat staat ingesteld is niet te wijzigen. Het betreffende gebruikersaccount blijkt ook in de vorige firmwareversie aanwezig te zijn (4.39), maar daar was nog geen wachtwoord voor ingesteld. Oudere versies van de Zyxel-firmware beschikte nog niet over de backdoor, maar hadden wel diverse andere kwetsbaarheden, aldus EYE Control.
De beveiligingsonderzoekers van EYE Control hebben het wachtwoord voor de backdoor niet openbaar gemaakt, maar gezien het gemak waarmee dit wachtwoord achterhaald kan worden, hebben hackers vrij spel om aan de slag te gaan op Zyxel-apparatuur die voorzien zijn van de betreffende firmwareversie.
De update met de backdoor is op 10 november uitgekomen, waardoor niet uitgesloten kan worden dat andere hackers de backdoor ook al ontdekt hebben. Zyxel heeft de firmwareversie met de backdoor op 9 december ingetrokken en op 15 december een nieuwe firmwareversie uitgebracht voor de meeste Zyxel-apparatuur. Op 18 december is voor de resterende apparatuur een nieuwe firmware update uitgebracht. EYE Control schat in dat de kwetsbare firmware op circa 10 procent van alle Zyxel-apparaten draait.
Zyxel patcht problemen
In reactie heeft Zyxel een lijst gepubliceerd met kwetsbare apparaten en de update die nodig is om het probleem te verhelpen. Er is een hardcoded credential vulnerability geïdentificeerd in het "zyfwp" gebruikersaccount in sommige Zyxel firewalls en AP-controllers. Het account is bedoeld om via ftp automatische firmware-updates te leveren aan access points.
