Zyxel GS1900-patch blokkeert zero-day exploit voor root-commando's niet

Coding code on multiple computer screens — Jakub Żerdzicki / Unsplash

Netwerkschakelaars van de Zyxel GS1900-serie blijven kwetsbaar voor een exploit die aanvallers in staat stelt commando's uit te voeren, zelfs nadat zij een eerdere correctie van de leverancier hadden ontvangen. Onderzoekers van Binarly ontdekten dat de eerdere fix niet effectief was tegen de gebruikte methode.

De exploit stelt iedereen die toegang heeft tot de webbeheersinterface van een schakelaar in staat om commando's uit te voeren zonder in te loggen. Deze commando's worden uitgevoerd met root-privileges. Zyxel heeft inmiddels nieuwe firmware uitgebracht voor tien GS1900-modellen om dit lek te dichten.

De eerdere correctie was de 2.90 Patch 2 firmware, die op 16 juni werd genoemd in een advies over een lek met het kenmerk CVE-2026-7273. De nieuwe 2.90 Patch 3 firmware lost een apart lek op, getraceerd als CVE-2026-107441, waar de exploit op steunt. Deze nieuwe versie werd op 23 oktober geplaatst en door de leverancier begin deze week aangekondigd.

Binarly meldde het lek op 29 september aan de leverancier en bestempelt het als een zero-day, aangezien aanvallers op dat moment al over een werkende exploit beschikten. GreyNoise rapporteerde op 21 september dat aanvallers rond 17 augustus gegevens hadden gestolen van 996 GS1900-schakelaars. Deze gegevens bevatten netwerkinformatie, gehashte root-inloggegevens en configuraties van de schakelaars. Van deze 996 apparaten gebruikten 564 nog steeds de standaard inloggegevens van de fabriek.

De technische analyse van Binarly wijst op een fout in het programma dat webverzoeken afhandelt, specifiek een out-of-bounds write waarbij gegevens buiten het toegewezen geheugen worden geschreven. Patch 2 voegde een controle toe aan de teller van parameters, maar deze controle vond plaats nadat de te grote parameter al was gekopieerd. Hierdoor kon de exploit zonder wijzigingen blijven werken tegen Patch 2. In Patch 3 wordt de teller gecontroleerd voordat een parameter wordt gekopieerd en is de kopie beperkt in grootte.

GreyNoise koppelde de aanvallen aan CVE-2026-7273 en aan een groep die door Acronis wordt gevolgd als Red Heron, beschreven als Chinees-sprekend. Acronis heeft Red Heron eerder gelinkt aan een backdoor genaamd JITTERLY. De onderzoekers vonden de exploit op 17 september in een open map op een server die ook diende als commandoserver voor JITTERLY.

De Cybersecurity and Infrastructure Security Agency (CISA) voegde CVE-2026-7273 op 21 september toe aan zijn catalogus van bekende geëxploiteerde kwetsbaarheden en gaf federale agentschappen tot 24 september de tijd om Patch 2 toe te passen. De nieuwe kwetsbaarheid, CVE-2026-107441, staat nog niet in de catalogus van CISA.