CVE-2020-29583: Credenciais Hard-Coded em Produtos Zyxel
Uma conta não documentada (zyfwp) com senha fixa está presente em firewalls e controladores AP da Zyxel. A vulnerabilidade tem CVSS 9.8, classificação crítica e exploração ativa confirmada pelo CISA KEV. O EPSS indica 90,2% de chance de exploração nos próximos 30 dias. A exploração permite acesso não autorizado a dispositivos de rede. A prioridade de mitigação é alta.
A vulnerabilidade está listada no NVD, possui CVSS 9.8, EPSS 90,2% e está confirmada no CISA KEV com prazo de mitigação definido, o que fornece múltiplas fontes de validação.
O que aconteceu
Dispositivos Zyxel (firewalls ATP, USG, VM e controladores AP NXC2500/NXC5500) contêm a conta interna "zyfwp" com senha hard‑coded e imutável. Um atacante que conhece o nome de usuário pode autenticar remotamente sem necessidade de interação do usuário. O CVSS 9.8 reflete vetor de rede, baixa complexidade, sem privilégios prévios e sem interação do usuário; o EPSS de 90,2% indica alta probabilidade de exploração em curto prazo.
Por que isso importa
Um acesso não autorizado pode permitir alteração de políticas de firewall, interceptação de tráfego ou comprometimento de toda a rede corporativa. A presença da conta em múltiplos produtos amplia a superfície de ataque. A exploração pode levar a perda de confidencialidade, integridade e disponibilidade dos serviços críticos.
Quem está em risco
Organizações que utilizam firewalls Zyxel ATP, USG, VM ou controladores AP NXC2500/NXC5500, independentemente do setor ou região, pois a vulnerabilidade é global e afeta todos os ambientes onde esses dispositivos estão em operação.
Detalhes técnicos
Vetores de ataque: rede (acesso remoto ao dispositivo de gerenciamento). Complexidade: baixa. Privilégios exigidos: nenhum (conta válida). Interação do usuário: nenhuma. Mecanismo: uso de credenciais armazenadas em texto claro e imutáveis para autenticação. MITRE ATT&CK: T1078 (Valid Accounts) e T1552.001 (Credentials In Files). Exploit público disponível (referência de PoC não fornecida na fonte).
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar as atualizações fornecidas pela Zyxel conforme instruções do vendor antes de 2022‑05‑03 (prazo CISA).
- 2
Desativar ou remover a conta "zyfwp" se o firmware permitir; caso contrário, bloquear login via ACLs ou firewall de gerenciamento.
- 3
Monitorar logs de autenticação para tentativas de login com o usuário "zyfwp" e gerar alertas imediatos para sucessos ou falhas repetidas.
Sugestões de detecção
- ›
Consultar logs de sistema (syslog, SNMP traps ou logs de gerenciamento) filtrando campo "username" igual a "zyfwp"; gerar alerta para qualquer ocorrência, bem como para falhas de autenticação associadas.
- ›
Criar regra de correlação no SIEM que detecte conexões de origem externa ao endereço IP do dispositivo Zyxel seguidas de evento de login bem‑sucedido com "zyfwp", indicando possível comprometimento.
Falsos positivos
Não há indicadores estruturados; qualquer evento de login com a conta "zyfwp" é inesperado, portanto falsos positivos são improváveis.