Un nouveau correctif est disponible pour les commutateurs Zyxel GS1900 ciblés par une campagne de vol de données. Même les appareils mis à jour en juin restent vulnérables et doivent recevoir cette révision. Sale temps pour la marque taïwanaise et ses clients.
Les administrateurs réseau et power users qui avaient mis à jour leurs switches Zyxel GS1900 vont devoir recommencer. Ces commutateurs, chargés de relier les appareils d’un réseau Ethernet, restaient vulnérables après le correctif de juin. Un nouveau bulletin de sécurité, publié le 3 novembre, détaille les versions à installer.
Un correctif installé, une faille toujours présente
L’affaire remonte à une première vulnérabilité, référencée CVE-2026-7273, pour laquelle Zyxel avait distribué une mise à jour le 16 juin dernier. Le correctif publié en juin laissait une autre faille exploitable, désormais référencée CVE-2026-107441. Les administrateurs doivent donc installer une nouvelle mise à jour, même s’ils avaient appliqué la précédente.
La faille touche le programme CGI qui traite les requêtes de l’interface Web d’administration du switch. Une requête HTTP piégée peut provoquer une écriture hors limites en mémoire et permettre l’exécution de commandes sans compte ni mot de passe. Le correctif de juin vérifiait le nombre de paramètres reçus trop tard : un paramètre trop long pouvait déjà avoir modifié le compteur utilisé pour ce contrôle. L’attaque restait donc possible sur les dix firmwares mis à jour.
Notée 8,8 sur 10 selon l’échelle de gravité CVSS, la vulnérabilité est décrite par Zyxel comme exploitable depuis le réseau local. L’accès à l’interface de gestion doit donc être soigneusement filtré, y compris entre les différents appareils du réseau interne.
Près de 1 000 appareils compromis dans 48 pays
Les conséquences dépassent déjà largement la démonstration en laboratoire. Dans un rapport publié en septembre, GreyNoise recense 996 commutateurs GS1900 compromis dans 48 pays, dont 90 en France. Les pirates avaient récupéré des configurations, des informations sur les réseaux et des empreintes de mots de passe du compte root, qui dispose des droits les plus élevés sur l’équipement.
Ces empreintes, ou hashs, ne sont pas les mots de passe en clair, mais peuvent servir à tenter de les retrouver. GreyNoise relevait également que 564 des appareils compromis utilisaient encore les identifiants d’usine.
La bonne version dépend du modèle
Dix références figurent dans le bulletin de Zyxel, du GS1900-8 au GS1900-48HPv2. Pour chacune, le firmware doit impérativement passer à la révision .3 de la branche 2.90. Les versions .2 et antérieures restent vulnérables.
Attention toutefois à télécharger le fichier correspondant exactement à son modèle. Pour le GS1900-8, la version corrigée porte ainsi le numéro 2.90(AAHH.3)C0, tandis que le GS1900-24E attend 2.90(AAHK.3)C0. Le fabricant précise que ces correctifs concernent les modèles encore couverts par son support de sécurité. Ce qui fera une belle jambe aux possesseurs de modèles plus anciens…
