Binarly: Zyxel-GS1900-Fix lässt Angriffspfad offen

Administratoren von zehn Zyxel-GS1900-Switch-Modellen benötigen ein zweites Firmware-Update, nachdem Binarly festgestellt hat, dass der bisherige Sicherheitspatch weiterhin einen Exploit zulässt, den Angreifer nutzen, wie The Hacker News berichtete. Die Ersatzversion 2.90 Patch 3 schließt eine Schwachstelle, mit der ein Angreifer den Webverwaltungsdienst des Switches erreichen und ohne Authentifizierung Befehle ausführen kann.

Der Befund betrifft Switches mit 2.90 Patch 2 sowie mit älteren Firmware-Versionen. Patch 2 war die Abhilfe, die Zyxel in seiner Warnmeldung vom 16. Juni für CVE-2026-7273 nannte. Die verbleibende Schwachstelle trägt eine eigene Kennung, CVE-2026-107441. Zyxel stellte Patch 3 am 23. Oktober bereit und kündigte ihn Anfang dieser Woche in einer Warnmeldung an.

Zyxel beschreibt den Angreifer als LAN-basiert und nicht authentifiziert. Binarly zufolge genügt Zugriff auf den Verwaltungsdienst über das Netzwerk, und eine erfolgreiche Ausnutzung verschafft dem Angreifer die Ausführung von Befehlen mit Root-Rechten. Die Forscher stufen die Schwere mit einem CVSS-Wert von 9,8 von 10 ein, während Zyxels CVE-Eintrag 8,8 angibt.

Ein Exploit befindet sich bereits in den Händen der Angreifer

Die Hinweise, die die Schwachstelle mit Angriffen verbinden, reichen vor Binarlys Meldung an Zyxel am 29. September zurück. Die Forscher entdeckten den Exploit am 17. September in einem öffentlich zugänglichen Ordner auf einem Server, der auch zur Steuerung der Backdoor JITTERLY diente. Sie bezeichnen die Schwachstelle als Zero-Day, weil Angreifer bereits einen funktionierenden Exploit besaßen.

GreyNoise, das Angriffsverkehr über Sensoren beobachtet, meldete am 21. September, dass Angreifer etwa am 17. August Daten von 996 GS1900-Switches abgegriffen hatten. Als betroffene Schwachstelle nannte das Unternehmen CVE-2026-7273. Binarly zufolge stimmt die Beschreibung von GreyNoise mit dem Exploit überein, den die Firma rekonstruiert hat. Welche Firmware-Versionen auf den angegriffenen Switches liefen und wie die Angreifer dorthin gelangten, ist jedoch nicht bekannt.

Die Operation nutzte den Exploit, um ein Sammelskript auf Switches abzulegen, und bereitete die gesammelten Informationen anschließend zum Abruf vor. Dazu gehörten Konfigurationen, Hashes der Root-Zugangsdaten und Netzwerkdetails. Auf 564 der 996 Geräte waren noch die Standard-Zugangsdaten aus der Werkseinstellung in Gebrauch.

GreyNoise stufte die Angreifer als entweder mit der Gruppe identisch oder ihr zugehörig ein, die Acronis als Red Heron führt. Acronis beschreibt Red Heron als chinesischsprachig und hat die Gruppe bereits zuvor im Zusammenhang mit JITTERLY in einer Kampagne gegen Gitea-Server in Verbindung gebracht.

Zwei fehlende Prüfungen, zwei Schwachstellenkennungen

Binarlys Analyse konzentriert sich auf die Switch-Software, die Webanfragen verarbeitet. Der Parameterspeicher fasst 140 Einträge, doch die Länge einzelner Parameter wurde nicht geprüft. Vor Patch 2 fehlte außerdem eine Prüfung der Anzahl gespeicherter Parameter.

Der Exploit macht diese Lücken zu einer Abfolge von Speicherschreibvorgängen. Ein übergroßer Parameter an Position 140 läuft über seinen Speicherbereich hinaus und verändert den Zähler, der die Parameter verfolgt. Da der Angreifer diesen Zähler kontrolliert, landet der nächste Parameter außerhalb des vorgesehenen Speicherbereichs. Danach kann der Angreifer einen anstehenden Funktionsaufruf so umlenken, dass er einen Befehl ausführt.

Patch 2 führte die Zählerprüfung zu spät in dieser Abfolge ein: Die Kopieroperation hatte den übergroßen Parameter bereits den Zähler überschreiben lassen. Die nachfolgende Prüfung untersuchte daher einen Wert, den der Angreifer geliefert hatte. Binarly zufolge musste der rekonstruierte Exploit für Patch 2 nicht verändert werden.

Die Forscher validierten den Exploit sowohl mit emulierter Firmware als auch mit physischer Hardware, ohne das Hardware-Modell zu nennen. Die Liste unterstützter Firmware des Exploits führt Patch 2 für den GS1900-24 ausdrücklich auf, und Binarlys Warnmeldung bezeichnet alle zehn aufgeführten Patch-2-Builds als verwundbar.

Binarly zufolge erklärte Zyxel die beiden CVE-Kennungen damit, dass die fehlende Zählerprüfung, abgedeckt durch CVE-2026-7273, von der fehlenden Längenprüfung zu unterscheiden sei, die nun CVE-2026-107441 trägt. Daraus leiten die Forscher zwei Deutungen ab: Entweder hat die ursprüngliche Schwachstelle eine unzureichende Korrektur erhalten, oder die Angriffe nutzten eine andere Schwachstelle als die, die die CISA erfasst hat.

Patch 3 verlegt die Validierung des Zählers vor die Kopieroperation und begrenzt die Datenmenge, die kopiert werden kann. Binarly zufolge behebt dies den Fehler, und das Unternehmen plant, einen kleineren Proof-of-Concept-Exploit zu veröffentlichen.

Die Ersatz-Firmware

The Hacker News nennt aus der Warnmeldung von Zyxel die folgenden modellspezifischen betroffenen und korrigierten Versionen:

Die CISA nahm CVE-2026-7273 am 21. September in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) auf, am Tag, an dem GreyNoise die Angriffe öffentlich machte. Die Frist zur Behebung bis zum 24. September galt für die betroffenen zivilen Bundesbehörden der USA. Damals war Patch 2 die vom Hersteller genannte Abhilfe.

Der Katalogeintrag verlangt eine vom Hersteller vorgegebene Abhilfe gemäß BOD 26-04 sowie die Einhaltung der forensischen Triage-Vorgaben der CISA. Außerdem fordert er, die Internetexposition jedes Assets zu bewerten, die jeweils geltenden Hinweise zu Cloud-Diensten zu befolgen oder die Nutzung einzustellen, falls keine Gegenmaßnahmen verfügbar sind. Die forensische Triage ist mit „Ja“ markiert, der Einsatz in Ransomware-Kampagnen mit „Unbekannt“. Der Katalog vom 4. November führt CVE-2026-107441 nicht auf.

The Hacker News berichtet, dass Zyxels Warnmeldung weder eine Umgehungslösung noch Anleitungen zur Prüfung auf eine mögliche Kompromittierung enthält und nicht klärt, ob das Update den bestehenden Zugriff eines Angreifers entfernt. Administratoren mit einer betroffenen Version sollten das exakte Patch-3-Release ihres Modells installieren, das zusammen mit den Release Notes zur Zyxel-Firmware verfügbar ist.