Binarly: la correzione Zyxel GS1900 lascia aperta una via d'attacco

Gli amministratori di dieci modelli di switch Zyxel GS1900 devono installare un secondo aggiornamento del firmware, perché Binarly ha scoperto che la precedente patch di sicurezza consente ancora un exploit usato dagli attaccanti, come riportato da The Hacker News. La nuova versione, 2.90 Patch 3, corregge una vulnerabilità che permette a un attaccante di raggiungere il servizio web di gestione dello switch ed eseguire comandi senza autenticazione.

Il problema riguarda gli switch con firmware 2.90 Patch 2 e le versioni precedenti. La Patch 2 era la correzione indicata nel bollettino di Zyxel del 16 giugno per CVE-2026-7273. La vulnerabilità residua ha un identificativo diverso, CVE-2026-107441. Zyxel ha reso disponibile la Patch 3 il 23 ottobre e ne ha dato notizia in un bollettino pubblicato all'inizio di questa settimana.

Zyxel descrive l'attaccante come un soggetto collegato alla LAN e non autenticato. Binarly sostiene che basti l'accesso via rete al servizio di gestione e che uno sfruttamento riuscito conceda all'attaccante l'esecuzione di comandi come root. I ricercatori assegnano un punteggio CVSS di gravità pari a 9,8 su dieci, mentre la scheda CVE di Zyxel gli attribuisce 8,8.

Un exploit già nelle mani degli attaccanti

Le prove che collegano la vulnerabilità agli attacchi precedono la segnalazione che Binarly ha inviato a Zyxel il 29 settembre. I ricercatori hanno trovato l'exploit il 17 settembre, in una cartella accessibile pubblicamente su un server usato anche per controllare la backdoor JITTERLY. Descrivono la vulnerabilità come zero-day perché gli attaccanti disponevano già di un exploit funzionante.

GreyNoise, che osserva il traffico d'attacco tramite sensori, ha comunicato il 21 settembre che gli attaccanti avevano sottratto dati da 996 switch GS1900 intorno al 17 agosto. Ha individuato come vulnerabilità coinvolta CVE-2026-7273. Binarly afferma che la descrizione di GreyNoise corrisponde all'exploit che ha recuperato, anche se non sono specificate le versioni del firmware degli switch colpiti né il modo in cui gli attaccanti vi hanno avuto accesso.

L'operazione ha usato l'exploit per installare sugli switch uno script di raccolta, quindi ha predisposto le informazioni raccolte per essere recuperate. Tali informazioni comprendevano configurazioni, hash delle credenziali root e dettagli di rete. Le credenziali di fabbrica erano ancora in uso su 564 dei 996 dispositivi.

GreyNoise ha valutato che gli attaccanti fossero il gruppo che Acronis traccia come Red Heron oppure un gruppo ad esso collegato. Acronis descrive Red Heron come un gruppo di lingua cinese e in precedenza lo ha collegato a JITTERLY in una campagna contro server Gitea.

Due controlli mancanti, due identificativi di vulnerabilità

L'analisi di Binarly si concentra sul software dello switch che elabora le richieste web. Lo spazio di memoria dei parametri ha una capacità di 140 voci, ma la lunghezza di ciascun parametro non veniva verificata. Prima della Patch 2, il software non controllava nemmeno il numero di parametri memorizzati.

L'exploit trasforma queste omissioni in una sequenza di scritture in memoria. Un parametro troppo lungo in posizione 140 supera lo spazio che gli è assegnato e modifica il contatore usato per tenere traccia dei parametri. Una volta che l'attaccante controlla quel contatore, il parametro successivo finisce al di fuori dell'area di memoria prevista. A quel punto l'attaccante può indirizzare una chiamata di funzione imminente in modo che esegua un comando.

La Patch 2 ha introdotto un controllo sul contatore, ma troppo tardi in questa sequenza: l'operazione di copia aveva già permesso al parametro troppo lungo di corrompere il contatore. Il controllo successivo esaminava quindi un valore fornito dall'attaccante. Binarly afferma che l'exploit recuperato non ha richiesto alcuna modifica per funzionare contro la Patch 2.

I ricercatori hanno validato l'exploit sia su firmware emulato sia su hardware fisico, senza identificare il modello dell'apparecchio. L'elenco dei firmware supportati dall'exploit include esplicitamente la Patch 2 per il GS1900-24, mentre il bollettino di Binarly indica come vulnerabili tutte e dieci le build della Patch 2 elencate.

Binarly sostiene che Zyxel abbia spiegato i due identificativi CVE distinguendo il controllo sul contatore mancante, coperto da CVE-2026-7273, dal controllo sulla lunghezza mancante, oggi identificato come CVE-2026-107441. Di conseguenza i ricercatori propongono due interpretazioni: la vulnerabilità originaria ha ricevuto una correzione inadeguata, oppure gli attacchi hanno sfruttato una vulnerabilità diversa da quella catalogata da CISA.

La Patch 3 anticipa la verifica del contatore rispetto all'operazione di copia e limita la quantità di dati copiabili. Binarly afferma che così il difetto è risolto e intende pubblicare un exploit proof-of-concept più compatto.

Il firmware sostitutivo

The Hacker News riporta, dal bollettino di Zyxel, le versioni interessate e quelle corrette per ciascun modello:

CISA ha inserito CVE-2026-7273 nel suo catalogo Known Exploited Vulnerabilities il 21 settembre, lo stesso giorno in cui GreyNoise ha reso pubblici gli attacchi. La scadenza per la rimozione del problema, fissata al 24 settembre, si applicava alle agenzie civili federali statunitensi interessate. In quel momento la correzione del produttore indicata era la Patch 2.

La voce del catalogo richiede una mitigazione indicata dal fornitore ai sensi della BOD 26-04 e il rispetto dei requisiti di analisi forense di CISA. Chiede inoltre di valutare l'esposizione a internet di ciascun asset, di seguire le indicazioni applicabili per i servizi cloud o di interrompere l'uso se le mitigazioni non sono disponibili. L'analisi forense è indicata come «Sì»; l'uso in campagne di ransomware come «Sconosciuto». Il catalogo aggiornato al 4 novembre non elenca CVE-2026-107441.

The Hacker News riferisce che il bollettino di Zyxel non offre soluzioni alternative né istruzioni per verificare un'eventuale compromissione, e non chiarisce se l'aggiornamento elimini l'accesso già ottenuto da un attaccante. Gli amministratori con una qualsiasi build interessata devono installare la versione Patch 3 esatta del proprio modello, disponibile insieme alle note di rilascio del firmware di Zyxel.