Le correctif des switches Zyxel GS1900 n'arrête pas l'exploit zero-day : Binarly alerte, un nouveau firmware est disponible.

Une mauvaise surprise attend les administrateurs réseau. En effet, les switches Zyxel GS1900 qui ont reçu le premier correctif restent vulnérables à l’exploit utilisé par les attaquants. C’est la conclusion des chercheurs de Binarly. Or la faille d’origine était déjà exploitée activement. Zyxel a donc publié un nouveau firmware pour dix modèles de la gamme.

Un correctif Zyxel GS1900 contourné

Le scénario est classique, mais il reste préoccupant. D’abord, un éditeur corrige une vulnérabilité exploitée dans la nature. Ensuite, des chercheurs testent le correctif. Enfin, ils constatent que l’exploit fonctionne toujours.

C’est ce qui s’est produit ici. Le premier correctif correspond à la mise à jour 2.90. Pourtant, selon Binarly, il ne suffit pas à empêcher l’attaque. Par conséquent, les équipements qui l’ont installé ne sont pas protégés.

Cette situation est trompeuse. En effet, un administrateur diligent a appliqué le patch. Il a coché la case dans son suivi de conformité. Il pense donc l’équipement sécurisé. Pourtant, la porte d’entrée reste ouverte.

Zyxel a réagi en proposant un nouveau firmware. Celui-ci concerne dix modèles de la gamme GS1900. Cette fois, le correctif ferme bien la brèche. Toutefois, il faut vérifier la liste exacte des références concernées dans l’avis officiel de l’éditeur.

Une exécution de commandes sans authentification

La gravité du problème tient à sa simplicité d’exploitation. L’exploit permet d’exécuter des commandes sur le switch. Ainsi, l’attaquant n’a pas besoin de se connecter. Il lui suffit de pouvoir joindre l’interface web d’administration de l’équipement.

Les conséquences sont lourdes. D’abord, l’exécution de commandes avec les privilèges root donne un contrôle quasi total de l’appareil. Ensuite, un switch occupe une position stratégique. Il voit passer une grande partie du trafic interne. Un attaquant qui le contrôle peut donc l’observer ou le détourner.

Par ailleurs, ce type d’équipement est rarement surveillé de près. Il n’embarque ni antivirus ni agent de détection. De plus, les journaux sont souvent limités. Une compromission peut ainsi passer longtemps inaperçue.

En outre, un switch compromis peut servir de point d’appui. Les assaillants s’en servent pour rebondir vers d’autres systèmes du réseau. Ils peuvent également y installer un accès persistant.

Pourquoi un patch incomplet inquiète

Les correctifs incomplets sont un problème récurrent dans la sécurité des équipements réseau. Plusieurs raisons l’expliquent.

• Les attaquants analysent les correctifs pour comprendre la faille et trouver des variantes.
• Par ailleurs, les éditeurs corrigent parfois un symptôme plutôt que la cause profonde.
• Enfin, les firmwares embarqués sont plus difficiles à tester que des logiciels classiques.

De plus, une faille déjà exploitée change la donne. Les attaquants connaissent le mécanisme. Ils n’ont donc qu’à adapter leur méthode. Dès lors, le délai entre la publication d’un patch partiel et son contournement peut être très court.

Le travail de Binarly illustre l’intérêt de la vérification indépendante. Sans cette analyse, de nombreuses organisations auraient continué à se croire à l’abri. Autrement dit, installer un correctif ne prouve pas que la faille est fermée.

Recommandations pour les Zyxel GS1900

Les administrateurs doivent agir sans attendre. Voici les mesures prioritaires.

1. Identifier les équipements : d’abord, recensez tous les switches GS1900 de votre parc. Incluez notamment ceux installés dans des sites distants.
2. Installer le nouveau firmware : ensuite, appliquez la version publiée par Zyxel pour votre modèle. Ne vous contentez pas de la mise à jour 2.90.
3. Restreindre l’accès : n’exposez jamais l’interface web de gestion sur Internet. Limitez-la plutôt à un réseau d’administration dédié.
4. Filtrer les accès : de plus, autorisez uniquement quelques adresses IP d’administration par liste de contrôle d’accès.
5. Surveiller : enfin, recherchez des connexions inhabituelles vers l’interface de gestion. Repérez également les changements de configuration inexpliqués.

Si un switch était exposé avant la mise à jour, considérez-le comme potentiellement compromis. Vérifiez alors sa configuration. Changez ensuite les mots de passe et les secrets qui y sont stockés. En cas de doute, une réinitialisation complète suivie d’une reconfiguration propre est plus prudente.

Ce qu’il faut retenir

• Le premier correctif des Zyxel GS1900 (2.90) ne bloque pas l’exploit, d’après Binarly.
• En effet, l’attaque permet d’exécuter des commandes sans authentification via l’interface web.
• Par conséquent, Zyxel a publié un nouveau firmware pour dix modèles GS1900.
• La meilleure protection combine mise à jour et isolement de l’interface d’administration.

Source : Zyxel GS1900 Patch Fails to Block Zero-Day Exploit Allowing Root Command Execution