Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-522

CVE-2020-29583

Zyxel USG cihazlarında sabit kodlu yönetici hesabı (zyfwp)

Zyxel Multiple Products

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2136 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Etkilenen Zyxel güvenlik duvarlarında herkesin öğrenebileceği, değiştirilemeyen bir yönetici hesabı bulunuyor. Saldırganlar bu zafiyeti fiilen istismar ediyor; ele geçirilen cihaz tüm şirket ağını riske atar. Güncelleme gecikmeden uygulanmalıdır.

ÖzetTürkçe

Zyxel USG cihazlarının 4.60 sürüm yazılımında (firmware) belgelenmemiş bir hesap (zyfwp) bulunuyor ve bu hesabın parolası değiştirilemiyor. Parola, yazılımın içinde düz metin olarak yer alıyor. Bu hesap ile SSH sunucusuna veya web yönetim arayüzüne yönetici yetkisiyle giriş yapılabiliyor. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan bir saldırgan ağ üzerinden cihaza yönetici olarak girip yapılandırmayı değiştirebilir, trafiği izleyebilir veya kesintiye uğratabilir. Cihazın tamamen ele geçirilmesi mümkündür.

Kaynaktaki açıklama (İngilizce)

Firmware version 4.60 of Zyxel USG devices contains an undocumented account (zyfwp) with an unchangeable password. The password for this account can be found in cleartext in the firmware. This account can be used by someone to login to the ssh server or web interface with admin privileges.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Zyxel'in yayımladığı güncellemeyi, üretici talimatlarına uygun şekilde etkilenen USG cihazlarına uygulayın. Genel öneri
  2. CISA'nın gerekli eylemi: Güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa SSH ve web yönetim arayüzlerine internetten erişimi engelleyin, yalnızca güvenilir yönetim ağlarına izin verin. Genel öneri

Ek önlemler

  • Cihaz günlüklerinde zyfwp hesabıyla yapılmış girişleri ve beklenmeyen yapılandırma değişikliklerini kontrol edin. Genel öneri
  • Yönetim arayüzlerini internete açmayın; yönetime yalnızca VPN veya ayrı bir yönetim ağı üzerinden erişin. Genel öneri
  • Şüpheli erişim tespit ederseniz cihazı olası ele geçirilmiş sayın, yapılandırmayı ve diğer kimlik bilgilerini gözden geçirip yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Zyxel Multiple Products Sürüm belirtilmemiş –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.