Poprawka Zyxel GS1900 nie blokuje exploita zero day umożliwiającego wykonywanie poleceń root

A computer screen displays code on a desktop — Rob Wingate / Unsplash

Przełączniki sieciowe Zyxel GS1900, które otrzymały wcześniejszą poprawkę producenta na aktywnie wykorzystywaną lukę, nadal pozostają podatne na exploit używany przez atakujących, co odkryli badacze z Binarly.

Exploit pozwala dowolnej osobie, która ma dostęp do interfejsu zarządzania stroną WWW przełącznika, na uruchamianie poleceń bez konieczności logowania. Zyxel wydał nowe oprogramowanie układowe dla 10 modeli GS1900, które zamyka tę lukę. Nowe oprogramowanie 2.90 Patch 3 naprawia błąd śledzony jako CVE-2026-107441, na którym opiera się exploit. Zostało ono opublikowane 23 października, a producent ogłosił je w komunikacie na początku tego tygodnia.

Wcześniejsza poprawka, oprogramowanie 2.90 Patch 2, została wymieniona w komunikacie z 16 czerwca w związku z luką CVE-2026-7273. Badacze, którzy zgłosili nową lukę producentowi 29 września, nazywają ją błędem typu zero day. Do tego czasu atakujący posiadali już działający exploit.

GreyNoise, monitorujące ruch ataków za pomocą sieci czujników, poinformowało 21 września, że atakujący pobrali dane z 996 przełączników GS1900 około 17 sierpnia. Ataki te powiązano z CVE-2026-7273, a badacze twierdzą, że opisany exploit odpowiada temu, który oni znaleźli. Ani GreyNoise, ani Binarly nie określili, czy zaatakowane przełączniki posiadały wcześniejszą poprawkę, a komunikat producenta nie mówi, czy nowa luka była wykorzystywana.

Agencja CISA dodała CVE-2026-7273 do swojego katalogu znanych wykorzystywanych podatności 21 września, dając agencjom federalnym czas do 24 września na zastosowanie poprawki Patch 2. Badacze oceniają nową lukę na 9.8 w skali CVSS, podczas gdy producent ocenił ją na 8.8. Twierdzą oni, że polecenia atakującego są uruchamiane z uprawnieniami root.

Analiza techniczna Binarly wskazuje, że luka wynika z zapisu poza zakresem w programie obsługującym żądania WWW. Program przechowuje parametry w obszarze na 140 elementów, ale nie sprawdzał ich rozmiaru. Exploit wysyła zbyt duży 140. parametr, co nadpisuje licznik parametrów i pozwala zamienić funkcję programu na taką, która uruchamia polecenie atakującego. Poprawka Patch 2 dodała sprawdzenie licznika, ale dzieje się to po skopiowaniu zbyt dużego parametru, więc nie zatrzymuje zapisu. W wersji Patch 3 licznik jest sprawdzany przed kopiowaniem, a rozmiar kopii jest ograniczony.

Raport GreyNoise wskazuje, że atakujący używali exploita do pobierania skryptu zbierającego dane, w tym konfiguracje przełączników, zahashowane poświadczenia root i informacje sieciowe. Z 996 przełączników 564 nadal korzystało z domyślnych poświadczeń fabrycznych. Atakujących powiązano z grupą Red Heron, opisywaną przez Acronis jako chińskojęzyczna.