TACERT台灣學術網路危機處理中心

※安全通報資訊

安全通報類型	其它安全通報
發佈日期	2021-01-04
標題	[漏洞預警]Zyxel UTM整合式防火牆(USG與USG-FLEX)、VPN防火牆、ATP智能防火牆及無線網路控制器(NXC)存在安全漏洞(CVE-2020-29583)，允許攻擊者取得管理者權限，請儘速確認並進行更新！
CVE	CVE-2020-29583
BID
影響平台	受影響Zyxel設備版本如下： ● Zyxel UTM整合式防火牆(USG)系列V4.60以前版本：USG20-VPN、USG20W-VPN、USG40、USG40W、USG60、USG60W、USG110、USG210、USG310、USG1100、USG1900、USG2200、ZyWALL110、ZyWALL310及ZyWALL1100 ● Zyxel UTM整合式防火牆(USG-FLEX)系列V4.60以前版本：FLEX 100、FLEX 100W、FLEX 200、FLEX 500及FLEX 700 ● VPN防火牆系列V4.60以前版本：VNP50、VPN100、VPN300及VPN000 ATP智能防火牆系列V4.60以前版本：ATP100、ATP100W、ATP200、ATP500、ATP700及ATP800 ● 無線網路控制器(NXC)V6.10以前版本：NXC2500與NXC5500
說明	轉發行政院國家資通安全會報技術服務中心資安訊息警訊 NISAC-ANA-202101-0136 研究人員發現Zyxel UTM整合式防火牆(USG與USG-FLEX)、VPN防火牆、ATP智能防火牆及無線網路控制器(NXC)存在安全漏洞(CVE-2020-29583)，肇因於韌體內寫死(hardcoded)一組管理者後門帳號(zyfwp)，遠端攻擊者可透過SSH或網頁管理介面登入設備，並取得管理者權限。情資分享等級: WHITE(情資內容為可公開揭露之資訊)
解決方式	1.目前Zyxel官方已針對此漏洞釋出更新程式，請各機關聯絡設備維護廠商進行版本確認，並瀏覽官方公告網頁(https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release)將設備更新至以下版本： ● UTM整合式防火牆USG系列V4.60 Patch1 ● UTM整合式防火牆USG FLEX系列V4.60 Patch1 ● VPN防火牆系列V4.60 Patch1 ● ATP智能防火牆系列V4.60 Patch1 ● 無線網路控制器(NXC)系列V6.10 Patch1 2.無線網路控制器(NXC)系列之更新程式(V6.10 Patch1)官方預計在2021年4月推出，更新程式釋出前，可藉由限制管理者登入來源IP，以降低資安風險。 [參考資料] 1. https://www.zyxel.com/support/CVE-2020-29583.shtml; 2. https://www.eyecontrol.nl/blog/undocumented-user-account-in-zyxel-products.html; 3.https://www.zdnet.com/article/backdoor-account-discovered-in-more-than-100000-zyxel-firewalls-vpn-gateways/; 4. https://www.kocpc.com.tw/archives/364245; 5.https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release; 6. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29583;
相關資訊連結	https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release
相關修正資訊連結	https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release