Bản vá Zyxel GS1900 không chặn được zero-day cho phép chạy lệnh root

Các nhà nghiên cứu tại Binarly phát hiện rằng switch mạng Zyxel GS1900 đã nhận bản vá trước đó của hãng vẫn bị khai thác bởi đúng exploit mà kẻ tấn công đang dùng. Lỗ hổng cho phép bất kỳ ai tiếp cận được giao diện quản trị web của switch chạy lệnh mà không cần đăng nhập. Zyxel đã phát hành firmware mới cho 10 mẫu GS1900 để bịt lỗ hổng này.

Bản vá cũ và lỗ hổng mới

Bản vá trước là firmware 2.90 Patch 2, được nêu trong khuyến cáo ngày 16/6 cho lỗ hổng CVE-2026-7273. Firmware 2.90 Patch 3 mới vá lỗ hổng được theo dõi riêng là CVE-2026-107441, lỗ hổng mà exploit dựa vào. Bản này được đăng ngày 23/10 và hãng công bố trong khuyến cáo đầu tuần này.

Nhóm nghiên cứu báo lỗ hổng cho hãng ngày 29/9 và gọi đây là zero-day, vì tới thời điểm đó kẻ tấn công đã có exploit hoạt động được. GreyNoise, đơn vị giám sát lưu lượng tấn công qua mạng cảm biến, báo ngày 21/9 rằng kẻ tấn công lấy dữ liệu từ 996 switch GS1900 khoảng ngày 17/8, gắn các vụ tấn công với CVE-2026-7273; nhóm nghiên cứu nói exploit mà GreyNoise mô tả trùng với exploit họ tìm thấy.

Cả GreyNoise lẫn Binarly đều không nói các switch bị tấn công có chạy bản vá cũ hay không, và khuyến cáo của hãng cũng không cho biết lỗ hổng mới đã bị khai thác chưa.

Mẫu switch nào cần firmware mới

Khuyến cáo bảo mật của Zyxel liệt kê firmware bị ảnh hưởng và bản đã vá cho từng mẫu. Switch đang chạy Patch 2 hoặc firmware cũ hơn cần bản Patch 3 tương ứng cho mẫu của mình; các bản build được đăng kèm ghi chú phát hành firmware.

Khuyến cáo không nêu cách xử lý tạm thời cho người dùng chưa thể cập nhật. Khuyến cáo cũng không cho biết việc cập nhật có gỡ bỏ quyền truy cập mà kẻ tấn công có thể đã có hay không, hay người dùng nên kiểm tra gì nếu switch có thể đã bị xâm nhập.

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã thêm CVE-2026-7273 vào danh mục lỗ hổng bị khai thác đã biết (KEV) ngày 21/9 và yêu cầu các cơ quan liên bang áp dụng bản vá của hãng, tức firmware Patch 2, trước ngày 24/9. Việc đưa vào danh mục diễn ra đúng ngày các vụ tấn công trước đó được công bố.

Khuyến cáo lỗ hổng của nhóm nghiên cứu nói lỗ hổng mới có trong cả 10 bản build Patch 2, và "kẻ tấn công chỉ cần khả năng tiếp cận mạng tới dịch vụ quản trị", trong khi khuyến cáo của hãng mô tả "kẻ tấn công chưa xác thực, dựa trên LAN". Nhóm nghiên cứu chấm lỗ hổng 9,8/10 theo thang CVSS, so với 8,8 trong mục CVE của hãng, và cho biết lệnh của kẻ tấn công chạy với quyền root.

Vì sao bản vá cũ không chặn được exploit

Phân tích kỹ thuật của Binarly truy vết lỗ hổng tới chương trình xử lý yêu cầu web trên switch. Đây là lỗi ghi ngoài biên, tức chương trình ghi dữ liệu vượt quá vùng nhớ được cấp.

Chương trình lưu mỗi tham số yêu cầu trong một vùng cố định chứa được 140 tham số. Nó không kiểm tra kích thước tham số, và trước Patch 2 cũng không kiểm tra đã lưu bao nhiêu tham số. Exploit gửi tham số thứ 140 quá lớn, khiến nó tràn qua cuối vùng và ghi đè bộ đếm tham số của chương trình. Tham số tiếp theo sau đó được ghi ra ngoài vùng, cho phép kẻ tấn công thay hàm mà chương trình sắp gọi bằng hàm chạy lệnh của kẻ tấn công.

Patch 2 thêm kiểm tra bộ đếm, nhưng kiểm tra chỉ chạy sau khi tham số quá lớn đã được sao chép. Lúc đó bộ đếm đã giữ giá trị của kẻ tấn công nên kiểm tra không chặn được việc ghi. Nhóm nghiên cứu nói exploit vẫn hoạt động với Patch 2 mà không cần chỉnh sửa.

Họ đã thử nghiệm trên firmware giả lập và trên phần cứng thật, dù không nói rõ mẫu nào. Danh sách firmware được exploit hỗ trợ có bản Patch 2 cho GS1900-24.

Theo nhóm nghiên cứu, Zyxel nói với họ rằng CVE-2026-7273 liên quan tới việc thiếu kiểm tra bộ đếm, và hãng coi việc thiếu kiểm tra kích thước là lỗ hổng riêng, nay là CVE-2026-107441. Trong mã Patch 3, bộ đếm được kiểm tra trước khi sao chép tham số và việc sao chép bị giới hạn kích thước; nhóm nghiên cứu nói điều này khắc phục lỗ hổng.

Những gì đã biết về các vụ tấn công

Báo cáo của GreyNoise nói kẻ tấn công dùng exploit để tải script thu thập dữ liệu lên switch và để dữ liệu thu được chờ lấy đi. Dữ liệu gồm cấu hình switch, thông tin đăng nhập root đã băm và thông tin mạng. Trong 996 switch, 564 vẫn dùng thông tin đăng nhập mặc định của nhà máy.

Báo cáo không nói switch chạy firmware nào hay kẻ tấn công tiếp cận chúng ra sao. Báo cáo nói kẻ tấn công là cùng nhóm hoặc có liên hệ với nhóm mà Acronis theo dõi dưới tên Red Heron, được mô tả là nói tiếng Trung. Acronis từng liên kết backdoor tên JITTERLY với Red Heron trong một chiến dịch trước nhắm vào máy chủ Gitea.

Nhóm nghiên cứu tìm thấy exploit ngày 17/9 trong một thư mục mở trên máy chủ cũng đóng vai trò máy chủ lệnh cho JITTERLY. Khuyến cáo của họ đưa ra hai khả năng: hoặc bản cập nhật Patch 2 là bản vá lỗi cho CVE-2026-7273, hoặc các vụ tấn công khai thác lỗ hổng khác với lỗ hổng CISA đã liệt kê.

Nhóm nghiên cứu cho biết sẽ sớm công bố bản exploit thu gọn làm bằng chứng khái niệm. Dữ liệu danh mục KEV của CISA, cập nhật lần cuối hôm qua, không liệt kê CVE-2026-107441.

Nguồn: The Hacker News