Zyxel GS1900: Tidligere sikkerhetsoppdatering blokkerer ikke null dag utnyttelse

Computer screen displaying colorful code snippets — Jakub Żerdzicki / Unsplash

Nettverksrutere fra Zyxel i GS1900 serien som har mottatt leverandørens tidligere oppdatering for en aktivt utnyttet sårbarhet, er fortsatt åpne for den utnyttelsen angripere har brukt, ifølge forskere ved Binarly. Utnyttelsen lar enhver som har tilgang til rutens webbaserte administrasjonsgrenseflate kjøre kommandoer på enheten uten å logge inn. Zyxel har nå lansert ny programvare for ti GS1900 modeller som lukker dette hullet.

Den tidligere oppdateringen var programvare versjon 2.90 Patch 2, som ble nevnt i en varselmelding 16. juni for en sårbarhet sporet som CVE-2026-7273. Den nye programvaren, 2.90 Patch 3, retter en sårbarhet som nå spores separat som CVE-2026-107441, og som utnyttelsen er avhengig av. Den ble publisert 23. oktober, og leverandøren kunngjorde den i en varselmelding tidligere denne uken. Forskerne, som rapporterte sårbarheten til leverandøren 29. september, kaller den en null dag sårbarhet. Angripere hadde allerede en fungerende utnyttelse for den på det tidspunktet.

GreyNoise, som overvåker angrepstrafikk gjennom et nettverk av sensorer, rapporterte 21. september at angripere hentet data fra 996 GS1900 ruter rundt 17. august. De knyttet angrepene til CVE-2026-7273, og forskerne sier at utnyttelsen de beskrev samsvarer med den de fant. Verken GreyNoise eller Binarly sier om de angrepne rutene kjørte den tidligere oppdateringen, og leverandørens varselmelding sier ikke om den nye sårbarheten har blitt utnyttet.

Zyxels sikkerhetsvarsel lister berørte og rettede programvare for hver modell. Ruter som kjører Patch 2 eller tidligere programvare trenger Patch 3 bygget for sin modell. Byggene er publisert med sine programvare frigivelsesnotater. Varselet lister ingen midlertidig løsning for eiere som ikke kan oppdatere ennå. Det sier heller ikke om oppdatering fjerner tilgang en angriper allerede kan ha, eller hva eiere bør sjekke hvis en rute kan ha blitt kompromittert.

Den amerikanske Cybersecurity and Infrastructure Security Agency, CISA, la CVE-2026-7273 til sin katalog over kjente utnyttede sårbarheter 21. september og ga føderale etater til 24. september å implementere leverandørens oppdatering, Patch 2 programvaren. Oppføringen kom dagen de tidligere angrepene ble gjort offentlige. Forskernes sårbarhetsvarsel sier den nye sårbarheten finnes i alle ti av disse Patch 2 byggene. Det sier også at en angriper bare trenger nettverkstilgjengelighet til administrasjonstjenesten, mens leverandørens varsel beskriver en LAN basert, uprivilegert angriper.

Forskerne vurderer sårbarheten til 9,8 av 10 på CVSS alvorlighets skalaen, mot 8,8 i leverandørens CVE post, og sier at angriperens kommandoer kjører med rot rettigheter. Binarlys tekniske analyse sporer sårbarheten til programmet som håndterer webforespørsler på ruteren. Det er en skrivebeyond grense feil, som betyr at programmet skriver data utover det minnet som er allokkert for det.

Programmet lagrer hver forespørselsparameter i et fast område som kan romme 140 parametere. Det sjekket aldri størrelsen på en parameter, og før Patch 2 sjekket det aldri hvor mange parametere det hadde lagret. Utnyttelsen sender en 140. parameter som er for stor, noe som får den til å overskrive enden av området og overskrive programmets parameter teller. Neste parameter skrives da utenfor området, noe som lar angriperen bytte ut funksjonen programmet skal kalle til en som kjører angriperens kommando.

Patch 2 la til en sjekk på telleren, men sjekken kjører bare etter at den for store parameteren er kopiert. Da har telleren angriperens verdi, så sjekken stopper ikke skrivingen. Forskerne sier utnyttelsen fungerer mot Patch 2 uten endringer. De testet den på emulert programvare og på ekte maskinvare, selv om de ikke sier hvilken modell. Utnyttelsens egen liste over støttet programvare inkluderer Patch 2 bygget for GS1900-24.

Ifølge forskerne sa Zyxel at CVE-2026-7273 handlet om den manglende teller sjekken, og at de behandler den manglende størrelsessjekken som en separat sårbarhet, nå CVE-2026-107441. I Patch 3 koden sjekkes telleren før en parameter kopieres, og kopien er begrenset i størrelse. Forskerne sier dette retter sårbarheten.

GreyNoises angrepsrapport sier angriperne brukte utnyttelsen til å laste ned et datainnsamlingsskript på rutene og lot de samlet data bli hentet. Dataene inkluderte rutekonfigurasjoner, hasjerte rot kredensialer og nettverksinformasjon. Av de 996 rutene brukte 564 fortsatt fabrikkstandard kredensialer. Rapporten sier ikke hvilken programvare rutene kjørte eller hvordan angriperne nådde dem. Den sier angriperne er de samme som, eller relatert til, en gruppe Acronis sporer som Red Heron og beskriver som kinesisk talende. Acronis knyttet en bakdør kalt JITTERLY til Red Heron i en tidligere kampanje som målrettet Gitea servere.

Forskerne fant utnyttelsen 17. september i en åpen mappe på en server som også fungerte som kommandoserver for JITTERLY. Deres varselmelding tilbyr to forklaringer. Enten var Patch 2 oppdateringen en feilaktig retting av CVE-2026-7273, eller utnyttet angrepene en annen sårbarhet enn den CISA listet. Forskerne sier de snart vil publisere en mindre versjon av utnyttelsen som et bevis på konsept. CISA sine KEV katalogdata, sist oppdatert i går, lister ikke CVE-2026-107441.