Trusted Design

CVE-2020-29583 の詳細

CVEの情報

説明:
Firmware version 4.60 of Zyxel USG devices contains an undocumented account (zyfwp) with an unchangeable password. The password for this account can be found in cleartext in the firmware. This account can be used by someone to login to the ssh server or web interface with admin privileges.

CVE更新日: 2020-12-22 22:15:14.443000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.901550000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-29583に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2020-29583は、Zyxel製のファイアウォールおよびAPコントローラー製品のファームウェアに存在するハードコードされた認証情報に関する脆弱性です。Zyxel USGデバイスのファームウェアバージョン4.60には、変更不可能な「zyfwp」という名前の未公開アカウントが含まれており、このアカウントのパスワードはファームウェアのバイナリで平文で確認できます。このアカウントは、FTPを介して接続されたアクセスポイントに自動ファームウェアアップデートを配信するために設計されたものです。しかし、攻撃者はこのアカウントを利用して、SSHサーバーまたはWeb管理インターフェースを介して管理者権限でデバイスにログインすることが可能です。

1.1 影響

攻撃者がこの脆弱性を悪用すると、デバイスに対する完全な管理者権限を取得できます。これにより、デバイスの機密性、完全性、可用性が完全に損なわれる可能性があります。例えば、ファイアウォール設定を変更して特定のトラフィックを許可またはブロックしたり、トラフィックを傍受したり、VPNアカウントを作成してデバイスの背後にあるネットワークにアクセスしたりすることが考えられます。 この脆弱性は、ZeroLogonのような他の脆弱性と組み合わされることで、中小企業にとって壊滅的な影響をもたらす可能性があります。

世界中で約10万台のZyxelデバイスがこの脆弱性に晒されている可能性があります。これは、SSL VPNインターフェースとWebインターフェースが同じポートで動作するため、多くの顧客がポート443をインターネットに公開しているためと考えられています。

1.2 深刻度

  • CVSSスコア: 9.8 (Critical)
  • 深刻度: 緊急（CRITICAL）
  • EPSS Probability: 94.37% (この脆弱性が30日以内に悪用される確率の推定値)
  • CISA KEVカタログ: 積極的に悪用されている脆弱性としてCISA KEVカタログにリストされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Zyxel製品のファームウェアバージョンに関連しています。影響を受けるファームウェアバージョンはZLD V4.60です。

2.2 影響を受ける設定

影響を受ける製品およびファームウェアバージョンは以下の通りです。

  • ファイアウォール:
    • ATPシリーズ: ファームウェア ZLD V4.60 を実行しているもの
    • USGシリーズ: ファームウェア ZLD V4.60 を実行しているもの (USG20-VPN, USG20W-VPN, USG40, USG40W, USG60, USG60W, USG110, USG210, USG310, USG1100, USG1900, USG2200, ZyWALL110, ZyWALL310, ZyWALL1100)
    • USG FLEXシリーズ: ファームウェア ZLD V4.60 を実行しているもの (FLEX 100, FLEX 100W, FLEX 200, FLEX 500, FLEX 700)
    • VPNシリーズ: ファームウェア ZLD V4.60 を実行しているもの (VNP50, VPN100, VPN300, VPN000)
  • APコントローラー:
    • NXC2500: ファームウェア V6.00 から V6.10 を実行しているもの
    • NXC5500: ファームウェア V6.00 から V6.10 を実行しているもの

なお、VPNシリーズ（SD-OSを実行しているもの）のV4.60は影響を受けません。

3. 影響を受けた時の兆候

この脆弱性はハードコードされた管理者アカウントの存在による認証バイパスであるため、明確な兆候が外部に現れることは少ない可能性があります。しかし、以下のような異常が観測される場合は、デバイスが侵害された兆候である可能性があります。

  • デバイスへの不審な管理者ログイン履歴。
  • 意図しない設定変更（ファイアウォールルール、VPN設定など）。
  • ネットワークトラフィックの異常。
  • 未承認のVPNアカウントの作成。

侵害が疑われる場合は、影響を受けるデバイスの完全な設定監査を実施し、不正な変更がないか確認することが推奨されます。

4. 推奨対策

4.1 本対策

Zyxelは、この脆弱性に対処するファームウェアパッチをリリースしています。 ユーザーは、最適な保護のために適用可能なファームウェアアップデートをインストールすることが強く推奨されます。

  • ZLD V4.60 Patch 1 以降のバージョンにアップデートします。
    • ATPシリーズ、USGシリーズ、USG FLEXシリーズ、VPNシリーズのファイアウォールは、ZLD V4.60 Patch1以降に更新。
    • NXC2500およびNXC5500のAPコントローラーは、V6.10 Patch1以降に更新。

このパッチは、未公開の「zyfwp」アカウントを削除することで脆弱性を解決します。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合、以下の暫定回避策を適用してリスクを軽減することが可能です。

  • SSHアクセスを無効にする。
  • Web管理インターフェースへのアクセスを信頼できるIPアドレスに限定するために、ファイアウォールルールを使用します。
  • 上流のネットワークデバイスでネットワークアクセスコントロールリスト（ACL）を実装し、Zyxel管理インターフェースに到達できるユーザーを制限します。
  • 認証され、認可されたチャネルを介してのみ管理アクセスが行われるように、VPNまたはジャンプホストアーキテクチャを展開します。
  • Zyxelデバイスモデルでサポートされている場合、多要素認証を有効にして追加の保護レイヤーを構築します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る