Zyxel 防火墙、VPN 等产品
发现了一个硬编码管理账号或“后门”。Zyxel 已经释出了
补丁修复了该问题。安全研究员称,后门账号存在于固件版本 4.60 patch 0 中,用户名为 zyfwp,该账号可通过 SSH 和 Web 接口登陆。该用户是不可见的,密码不可修改,在之前的固件版本中也存在同样的用户名,但并没有密码,因此后门账号是在 4.60 固件中引入的。根据 Project Sonar 的统计,有超过 10 万 Zyxel USG/ATP/VPN 设备将其 Web 接口暴露在互联网上。Zyxel 称,该账号是用于通过 FTP 从访问点传送自动固件更新。