- Aktif istismar
- Yama var
- CWE-78
CVE-2020-9054
ZyXEL NAS cihazlarında weblogin.cgi üzerinden kimlik doğrulamasız komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 7 Eki 2026
- Açık yaşı
- 2428 gün
- Kaydı açan
- certcc
Yönetici özeti
Etkilenen ZyXEL NAS cihazları, herhangi bir şifre gerekmeden uzaktan tamamen ele geçirilebilir ve bu açık fiilen saldırılarda kullanılmaktadır. Cihazlardaki dosyaların çalınması, silinmesi veya fidye yazılımıyla şifrelenmesi riski vardır. Yamanın en kısa sürede uygulanması, yama yoksa cihazların erişime kapatılması gerekir.
ÖzetTürkçe
ZyXEL NAS326, NAS520, NAS540 ve NAS542 gibi ağa bağlı depolama (NAS) cihazlarının 5.21 ve öncesi yazılımlarında, weblogin.cgi programı username parametresini doğru biçimde temizlemez. Bu nedenle özel hazırlanmış bir HTTP POST veya GET isteğiyle işletim sistemi komutu enjekte edilebilir. Kimlik doğrulaması gerekmez. Ayrıca destek süresi dolmuş NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 ve NSA325v2 modelleri de etkilenir. Açık CISA KEV listesinde yer almakta olup aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Uzaktaki, kimliği doğrulanmamış bir saldırgan cihazda root yetkisiyle keyfi kod çalıştırabilir. Cihaz internete doğrudan açık olmasa bile, aynı ağdaki bir kullanıcının kötü amaçlı bir web sayfasını ziyaret etmesi cihazın ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Multiple ZyXEL network-attached storage (NAS) devices running firmware version 5.21 contain a pre-authentication command injection vulnerability, which may allow a remote, unauthenticated attacker to execute arbitrary code on a vulnerable device. ZyXEL NAS devices achieve authentication by using the weblogin.cgi CGI executable. This program fails to properly sanitize the username parameter that is passed to it. If the username parameter contains certain characters, it can allow command injection with the privileges of the web server that runs on the ZyXEL device. Although the web server does not run as the root user, ZyXEL devices include a setuid utility that can be leveraged to run any command with root privileges. As such, it should be assumed that exploitation of this vulnerability can lead to remote code execution with root privileges. By sending a specially-crafted HTTP POST or GET request to a vulnerable ZyXEL device, a remote, unauthenticated attacker may be able to execute arbitrary code on the device. This may happen by directly connecting to a device if it is directly exposed to an attacker. However, there are ways to trigger such crafted requests even if an attacker does not have direct connectivity to a vulnerable devices. For example, simply visiting a website can result in the compromise of any ZyXEL device that is reachable from the client system. Affected products include: NAS326 before firmware V5.21(AAZF.7)C0 NAS520 before firmware V5.21(AASZ.3)C0 NAS540 before firmware V5.21(AATB.4)C0 NAS542 before firmware V5.21(ABAG.4)C0 ZyXEL has made firmware updates available for NAS326, NAS520, NAS540, and NAS542 devices. Affected models that are end-of-support: NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 and NSA325v2
Üreticinin çözüm notu (İngilizce)
ZyXEL has made firmware updates available for NAS326, NAS520, NAS540, NAS542, ATP100, ATP200, ATP500, ATP800, USG20-VPN, USG20W-VPN, USG40, USG40W, USG60, USG60W, USG110, USG210, USG310, USG1100, USG1900, USG2200, VPN50, VPN100, VPN300, VPN1000, ZyWALL110, ZyWALL310, and ZyWALL1100 devices.
Üreticinin geçici önlemi (İngilizce)
Block access to the ZyXEL device web interface:
This issue can be mitigated by blocking (for example with a firewall) access to the web interface (80/tcp and 443/tcp) of any vulnerable ZyXEL device. Any machine that can access the ZyXEL web interface should not also be able to access the internet.
Restrict access to vulnerable ZyXEL devices:
Direct exploitation of this vulnerability can be mitigated by restricting access to vulnerable devices. In particular, do not expose such devices directly to the internet. Note however, that it is still possible for attackers to exploit devices that are not directly connected to the internet. For example, by way of viewing a web page.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Etkilenen modeller için (NAS326, NAS520, NAS540, NAS542) ZyXEL'in yayımladığı güncel yazılımı yükleyin; en az NAS326 için V5.21(AAZF.7)C0, NAS520 için V5.21(AASZ.3)C0, NAS540 için V5.21(AATB.4)C0, NAS542 için V5.21(ABAG.4)C0 sürümüne geçin. Üretici
- CISA'nın gereği doğrultusunda güncellemeleri üreticinin talimatlarına göre uygulayın. CISA
- Destek süresi dolmuş NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 ve NSA325v2 modelleri için yama bulunmamaktadır; bu cihazları desteklenen bir modelle değiştirmeyi planlayın. Genel öneri
- Yama uygulanamayan cihazlarda web arayüzüne (80/tcp ve 443/tcp) erişimi güvenlik duvarıyla engelleyin. Arayüze erişebilen hiçbir makinenin aynı zamanda internete erişmemesi gerekir. Üretici
- Cihazları internete doğrudan açmayın ve erişimi yalnızca güvenilir yönetim ağıyla sınırlandırın. Üretici
Ek önlemler
- NAS cihazlarını internete doğrudan yayınlamayın; uzaktan erişim gerekiyorsa VPN kullanın. Genel öneri
- Yönetim arayüzünü ayrı ve kısıtlı bir ağ segmentine alın; kullanıcı iş istasyonlarından erişimi sınırlayın. Genel öneri
- Cihazlarda olağandışı süreçleri, beklenmeyen kullanıcı hesaplarını ve şüpheli giden bağlantıları izleyin; olası ele geçirilme durumunda cihazı ağdan ayırıp yedeklerden geri yükleyin. Genel öneri
- Önemli verilerin düzenli ve cihazdan bağımsız yedeklerini tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler12 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ZyXEL NAS326 | Sürüm belirtilmemiş | – |
| ZyXEL NAS520 | Sürüm belirtilmemiş | – |
| ZyXEL NAS540 | Sürüm belirtilmemiş | – |
| ZyXEL NAS542 | Sürüm belirtilmemiş | – |
| ZyXEL NSA210 | Sürüm belirtilmemiş | – |
| ZyXEL NSA220 | Sürüm belirtilmemiş | – |
| ZyXEL NSA221 | Sürüm belirtilmemiş | – |
| ZyXEL NSA310 | Sürüm belirtilmemiş | – |
| ZyXEL NSA320 | Sürüm belirtilmemiş | – |
| ZyXEL NSA320S | Sürüm belirtilmemiş | – |
| ZyXEL NSA325 | Sürüm belirtilmemiş | – |
| ZyXEL NSA325v2 | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.