CVE-2020-29583
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 90.2%
- CWE
- CWE-522
- KEV Durumu
- Evet
Yayım tarihi: 22 Aralık 2020 · CISA KEV son iyileştirme tarihi: 3 Mayıs 2022
Etkilenen: zyxel usg20-vpn_firmware
Zyxel USG cihazlarının 4.60 sürümündeki firmware, değiştirilemeyen parolasına sahip belgelenmemiş bir hesap (zyfwp) içerir. Bu hesabın parolası firmware içinde açık metin olarak bulunabilir. Bu hesap, alguien tarafından ssh sunucusuna veya web arayüzüne yönetici ayrıcalıklarıyla giriş yapmak için kullanılabilir.
Orijinal açıklama (İngilizce)
Firmware version 4.60 of Zyxel USG devices contains an undocumented account (zyfwp) with an unchangeable password. The password for this account can be found in cleartext in the firmware. This account can be used by someone to login to the ssh server or web interface with admin privileges.
Referanslar
- http://ftp.zyxel.com/USG40/firmware/USG40_4.60%28AALA.1%29C0_2.pdf
- https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release
- https://businessforum.zyxel.com/discussion/5254/whats-new-for-zld4-60-patch-1-available-on-dec-15
- https://www.eyecontrol.nl/blog/undocumented-user-account-in-zyxel-products.html
- https://www.secpod.com/blog/a-secret-zyxel-firewall-and-ap-controllers-could-allow-for-administrative-access-cve-2020-29583/
- https://www.zyxel.com/support/CVE-2020-29583.shtml
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.