BDU:2021-01667

Опубликовано: 29 нояб. 2020

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость микропрограммного обеспечения сетевых устройств ZyXEL USG, USG VPN, ATP, ZyWALL и FLEX связана с незашифрованным хранением данных при использовании учетной записи «zyfwp». Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Вендор

Zyxel Communications Corp.

Наименование ПО

USG2200

USG110

USG210

USG1100

USG1900

USG20W-VPN

USG310

USG20-VPN

USG40

USG40W

USG60

USG60W

ATP100

ATP200

ATP500

ATP800

ATP700

ATP100W

ZyWALL 110

ZyWALL 1100

ZyWALL 310

VPN50

VPN300

VPN100

VPN000

USG FLEX 100

USG FLEX 100W

USG FLEX 200

USG FLEX 500

USG FLEX 700

Версия ПО

4.60 (USG2200)

4.60 (USG110)

4.60 (USG210)

4.60 (USG1100)

4.60 (USG1900)

4.60 (USG20W-VPN)

4.60 (USG310)

4.60 (USG20-VPN)

4.60 (USG40)

4.60 (USG40W)

4.60 (USG60)

4.60 (USG60W)

4.60 (ATP100)

4.60 (ATP200)

4.60 (ATP500)

4.60 (ATP800)

4.60 (ATP700)

4.60 (ATP100W)

4.60 (ZyWALL 110)

4.60 (ZyWALL 1100)

4.60 (ZyWALL 310)

4.60 (VPN50)

4.60 (VPN300)

4.60 (VPN100)

4.60 (VPN000)

4.60 (USG FLEX 100)

4.60 (USG FLEX 100W)

4.60 (USG FLEX 200)

4.60 (USG FLEX 500)

4.60 (USG FLEX 700)

Тип ПО

ПО сетевого программно-аппаратного средства

Микропрограммный код

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.zyxel.com/support/CVE-2020-29583.shtml

https://www.zyxel.com/support/security_advisories.shtml

https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-29583
CVE

EPSS

Процентиль: 100%

0.94367

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2020-29583

CVSS3: 9.8

nvd

около 5 лет назад

Firmware version 4.60 of Zyxel USG devices contains an undocumented account (zyfwp) with an unchangeable password. The password for this account can be found in cleartext in the firmware. This account can be used by someone to login to the ssh server or web interface with admin privileges.

GHSA-59jx-m3c4-2m9w

CVSS3: 9.8

github

больше 3 лет назад

EPSS

Процентиль: 100%

0.94367

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2