[하루한줄] CVE-2020-29583: Zyxel 방화벽, VPN 제품에서 백도어 계정 발견

URL

Secret Backdoor Account Found in Several Zyxel Firewall, VPN Products

Target

  • 방화벽
    • ZLD V4.60 펌웨어를 사용하는 ATP, USG, USG FLEX, VPN 시리즈
  • AP 컨트롤러
    • NXC 2500, NXC5500

Explain

Zyxel은 해커가 펌웨어에 하드 코딩된 undocumented account(FTP를 통한 자동 펌웨어 업데이트 제공을 위한 계정)를 통해 관리자 권한으로 로그인하고 네트워크 장비를 손상시킬 수 있는 취약점에 대한 패치를 발표했습니다.

이 취약점은 CVE-2020-29583으로 undocumented account인 zyfwp와 수정할 수 없는 비밀번호 PrOw! aN_fXp가 평문으로 저장되어 있으며 해당 계정을 통해 해커가 SSH 서버나 웹 인터페이스에 관리자 권한으로 접근할 수 있습니다.

$ ssh zyfwp@192.168.1.252
Password: Pr*******Xp
Router> show users current
No: 1
  Name: zyfwp
  Type: admin
(...)
Router>

이 취약점을 악용해 해커는 방화벽의 설정을 조작하여 특정 트래픽을 허용하거나 막을 수 있고, 트래픽을 가로채거나 VPN 계정을 생성하여 네트워크에 대한 접근 권한을 가질 수 있습니다.

Reference

https://www.eyecontrol.nl/blog/undocumented-user-account-in-zyxel-products.html