Guai per Zyxel: il suo software di gestione della rete è un colabrodo

Mar 12, 2020 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

Backdoor, credenziali predefinite inserite nel codice del programma e altre vulnerabilità assortite. E secondo i ricercatori non si tratta di un errore.

Aggiornamento con nota ufficiale di Zyxel il 16/03/2020

Più che un report di sicurezza, quello pubblicato da Pierre Kim, sembra un vero atto d’accusa. La “vittima” del ricercatore di sicurezza si chiama Zyxel Cloud CNM SecuManager ed è il software dell’azienda taiwanese dedicato al monitoraggio e alla gestione delle reti e dei gateway Zyxel.

Come si legge sul blog di Kim, il programma avrebbe almeno 16 vulnerabilità che lo stesso autore e il suo collega Alexandre Torres definiscono “critiche”. Una vera galleria degli orrori che comprende certificati e credenziali predefinite inserite nel software, backdoor di varia natura e componenti che i ricercatori definiscono “segreti”.

In pratica, i sistemi Zyxel sarebbero vulnerabili a una spaventosa quantità di attacchi che potrebbero sfruttare funzioni accessibili senza autenticazione, sistemi di verifica dei certificati aggirabili (con la possibilità di portare attacchi Man in the Middle) e anche una vulnerabilità che consentirebbe di estrarre le credenziali per i servizi su cloud.

A completare l’impietoso quadro di insicurezza, ci sarebbero anche numerose vulnerabilità ad attacchi XSS (Cross Site Scripting) nell’interfaccia Web del programma e la presenza di account “nascosti” in MySQL.

L’elemento sconcertante di tutta la vicenda è che il report è stato pubblicato senza nemmeno darne comunicazione all’azienda. Come si legge nel testo, i due ricercatori hanno individuato le vulnerabilità alla fine di dicembre e hanno pubblicato lo studio lo scorso 9 marzo.

La comunicazione a Zyxel non è stata fatta perché i due autori sono convinti che “il produttore abbia intenzionalmente inserito alcune delle backdoor”. Insomma: secondo Kim e Torres, in questo caso la presenza di vulnerabilità sarebbe “dolosa” e quindi avrebbero deciso di saltare il processo di responsible disclosure.

Dalle parti di Zyxel non risultano comunicazioni ufficiali, né sul suo blog, né all’interno della sezione dedicata alle comunicazioni legate alla sicurezza.

Secondo quanto riporta Threatpost, che ha contattato l’azienda, Zyxel avrebbe sviluppato il software in collaborazione con una terza parte e starebbe adesso sviluppando gli aggiornamenti per correggere le vulnerabilità.

Riceviamo e pubblichiamo il commento di Zyxel: “Facciamo presente che in merito a quanto riportato nell’articolo, Zyxel si è attivata immediatamente nella risoluzione dei problemi, contattando immediatamente i clienti che hanno installato il software.

Dopo un’indagine approfondita, Zyxel ha verificato che le vulnerabilità riguardano solo CloudCNM SecuManager, uno strumento di gestione della rete personalizzato per le esigenze specifiche dei clienti. Altri prodotti e servizi Zyxel non sono interessati dalle vulnerabilità segnalate.

CloudCNM SecuManager è sviluppato congiuntamente con un fornitore di terze parti. Zyxel ha preso provvedimenti immediati per collaborare con il fornitore per risolvere i problemi, dando massima priorità. Verranno nuovamente contattati i singoli clienti per implementare la soluzione non appena disponibile“.

Condividi l'articolo