部份合勤网络与资安设备含有硬式编码漏洞，快更新韧体
合勤接获研究人员通报后，已针对编号CVE-2020-29583漏洞，修补ATP、USG、USG FLEX与
VPN系列的防火墙产品，至于NXC2500及NXC5500两款AP控制器的修补程式，预计1月8日释
出
荷兰资安业者Eye Control在去年11月，发现台湾网通设备制造商合勤（Zyxel）刚释出的
ZLD V4.60韧体含有一后门帐号，且同时影响多款防火墙及AP控制器产品，可能波及逾10
万台合勤装置，呼吁合勤用户应尽速更新韧体。
Eye Control的安全研究人员Niels Teusink说明，他是在研究自己的合勤防火墙装置
Zyxel USG40时，于它的4.60韧体中发现了一个名为zyfwp的使用者帐号，以及一个无法修
改（写死）的明文密码，还发现此一帐号同时适用于SSH与网页接口。旧版的韧体只含有
缓冲区溢位漏洞，并未见到此一帐号，因此相信它是在4.60才出现的。
此一含有漏洞的韧体同时支援ATP、USG、USG FLEX与VPN系列的防火墙，以及NXC2500及
NXC5500两款AP控制器。
Teusink利用Project Sonar进行全球扫描之后，发现有超过10万台上述型号的合勤装置曝
露在公开网络上，不过，一来合勤装置并不会揭露韧体版本予未经授权的使用者，二来虽
然合勤提供了自动更新机制，但默认值是关闭的，他相信这些网通设备的使用者不会太常
更新韧体，因而无法确实统计受害规模。
对此，我们也洽询合勤集团负责产品通路的兆勤科技，他们表示，关于全球超过10万台影
响，此为该名研究员预估，而根据他们的清查，目前台湾受影响的设备共有122台。
危险的是，韧体内建的zyfwp用户具备管理员权限，代表取得该权限的骇客将能完全取得
装置的控制权，包括变更防火墙设定以允许或封锁特定流量，也能窃听流量或建立VPN帐
号。
而根据合勤的说法，zyfwp是专门用来透过FTP传递韧体自动更新的帐号。我们向兆勤科技
征询此事时，他们则是强调，该帐号不是所谓的后门帐号，也并非超级帐号，属于硬式编
码（Hard Code）漏洞，此帐号是写死在韧体中，只能读取，主要的用途为更新AP韧体。
在获得Eye Control的通报之后，合勤已于去年12月中陆续修补此一编号为
CVE-2020-29583的安全漏洞。
目前合勤已修补4个系列的防火墙产品，至于两个AP控制器的修补程式预计要到4月才会问
世（编按：根据目前合勤公布的资讯，将于1月8日提供）。
https://www.ithome.com.tw/news/142021
心得:
合勤今天爆出漏洞后股价反而上升诶,这就是愈烂愈喷吗?
照理讲也不应该把帐号写死在韧体阿
看来明天会继续喷