תיקון של Zyxel למתגי GS1900 נכשל בחסימת ניצול פגיעות מסוג יום אפס המאפשר הרצת פקודות שורש

A computer screen with a bunch of code on it — Jiří Navrátil / Unsplash

מתגי רשת מדגם GS1900 של חברת Zyxel שקיבלו תיקון קודם של היצרן עבור פגיעות שנוצלה באופן פעיל, עדיין חשופים לאותו ניצול שבו השתמשו תוקפים, כך מצאו חוקרים ב-Binarly.

הניצול מאפשר לכל מי שיכול להגיע לממשק ניהול האינטרנט של מתג להריץ עליו פקודות ללא צורך בהתחברות. Zyxel שחררה קושחה חדשה עבור 10 דגמי GS1900 שסוגרת את הפרצה.

התיקון הקודם היה קושחת 2.90 Patch 2, שהוזכרה בהודעה מה-16 ביוני עבור פגיעות המזוהה כ-CVE-2026-7273. הקושחה החדשה, 2.90 Patch 3, מתקנת פגיעות המזוהה כעת בנפרד כ-CVE-2026-107441, שעליה מסתמך הניצול. היא פורסמה ב-23 באוקטובר, והיצרן הודיע עליה בהודעה מוקדם יותר השבוע.

החוקרים, שדיווחו על הפגיעות ליצרן ב-29 בספטמבר, מכנים אותה פגיעות יום אפס. תוקפים כבר החזיקו בניצול עובד עבורה עד לאותו מועד.

חברת GreyNoise, המנטרת תעבורת תקיפות באמצעות רשת חיישנים, דיווחה ב-21 בספטמבר כי תוקפים חילצו נתונים מ-996 מתגי GS1900 סביב ה-17 באוגוסט. היא קישרה את התקיפות ל-CVE-2026-7273, והחוקרים טוענים כי הניצול שתואר תואם לזה שהם מצאו. לא GreyNoise ולא Binarly ציינו אם המתגים הנתקפים השתמשו בתיקון הקודם, והודעת היצרן אינה מציינת אם הפגיעות החדשה נוצלה.

הסוכנות לאבטחת סייבר ותשתיות של ארצות הברית, CISA, הוסיפה את CVE-2026-7273 לקטלוג הפגיעות המנוצלות הידועות שלה ב-21 בספטמבר והעניקה לסוכנויות פדרליות עד ה-24 בספטמבר להחיל את תיקון היצרן, קושחת Patch 2. רשימה זו פורסמה ביום שבו התקיפות הקודמות הפכו לפומביות.

הודעת הפגיעות של החוקרים קובעת כי הפגיעות החדשה קיימת בכל 10 גרסאות ה-Patch 2. היא מציינת כי תוקף זקוק רק לגישה רשתית לשירות הניהול, בעוד הודעת היצרן מתארת תוקף לא מאומת המבוסס על רשת מקומית. החוקרים דירגו את הפגיעות בציון 9.8 מתוך 10 במדד החומרה CVSS, לעומת 8.8 ברישום ה-CVE של היצרן, וטוענים כי פקודות התוקף רצות עם הרשאות שורש.

ניתוח טכני של Binarly מקשר את הפגיעות לתוכנית המטפלת בבקשות אינטרנט במתג. מדובר בכתיבה מחוץ לגבולות, שבה התוכנית כותבת נתונים מעבר לזיכרון שהוקצה עבורה. התוכנית שומרת כל פרמטר בקשה באזור קבוע שיכול להכיל 140 פרמטרים, אך היא מעולם לא בדקה את גודל הפרמטר, ולפני Patch 2 היא לא בדקה כמה פרמטרים כבר נשמרו.

הניצול שולח פרמטר מספר 140 שגודלו גדול מדי, מה שגורם לחריגה מסוף האזור ולדריסת מונה הפרמטרים של התוכנית. הפרמטר הבא נכתב מחוץ לאזור, מה שמאפשר לתוקף להחליף את הפונקציה שהתוכנית עומדת לקרוא בפונקציה שמריצה את פקודת התוקף. Patch 2 הוסיף בדיקה על המונה, אך הבדיקה רצה רק לאחר שהפרמטר הגדול מדי הועתק. עד אז המונה כבר מחזיק בערך של התוקף, ולכן הבדיקה אינה עוצרת את הכתיבה. החוקרים טוענים כי הניצול עובד נגד Patch 2 ללא שינויים.

הם בדקו זאת על קושחה מדומית ועל חומרה אמיתית, אם כי לא ציינו איזה דגם. רשימת הקושחות הנתמכות של הניצול כוללת את גרסת Patch 2 עבור GS1900-24. לפי החוקרים, Zyxel מסרה להם כי CVE-2026-7273 התייחסה לבדיקת המונה החסרה, וכי היא מתייחסת לבדיקת הגודל החסרה כפגיעות נפרדת, כעת CVE-2026-107441. בקוד של Patch 3, המונה נבדק לפני העתקת פרמטר, וההעתקה מוגבלת בגודלה, מה שלפי החוקרים מתקן את הפגיעות.

דו"ח התקיפות של GreyNoise מציין כי התוקפים השתמשו בניצול כדי להוריד סקריפט איסוף נתונים למתגים והשאירו את הנתונים שנאספו לאיסוף. הנתונים כללו הגדרות מתג, אישורי שורש מוצפנים ומידע רשתי. מתוך 996 המתגים, 564 עדיין השתמשו בפרטי גישה ברירת מחדל של היצרן. הדו"ח אינו מציין איזו קושחה הריצו המתגים או כיצד התוקפים הגיעו אליהם. הוא מציין כי התוקפים הם אותה קבוצה, או קשורים לקבוצה, ש-Acronis עוקבת אחריה תחת השם Red Heron ומתארת כדוברת סינית. Acronis קישרה דלת אחורית בשם JITTERLY ל-Red Heron במבצע קודם שכיוון לשרתי Gitea. החוקרים מצאו את הניצול ב-17 בספטמבר בתיקייה פתוחה בשרת ששימש גם כשרת פקודות עבור JITTERLY.