Kerngegevens
- Leverancier
- Zyxel
- Producten
- Zyxel NAS326
- Zyxel NAS520
- Zyxel NAS540
- Zyxel NAS542
- Zyxel ATP100
- Zyxel ATP200
- Zyxel ATP500
- Zyxel ATP800
- Zyxel USG20-VPN
- Zyxel USG20W-VPN
- Soort software
- netwerk
- Getroffen versies
- Zyxel NAS326 alle versies voor 5.21(AAZF.7)C0
- Zyxel NAS520 alle versies voor 5.21(AASZ.3)C0
- Zyxel NAS540 alle versies voor 5.21(AATB.4)C0
- Zyxel NAS542 alle versies voor 5.21(ABAG.4)C0
- Zyxel ATP100 vanaf 4.35 tot 4.35(ABPS.3)C0
- Zyxel ATP200 vanaf 4.35 tot 4.35(ABFW.3)C0
- Zyxel ATP500 vanaf 4.35 tot 4.35(ABFU.3)C0
- Zyxel ATP800 vanaf 4.35 tot 4.35(ABIQ.3)C0
- Zyxel USG20-VPN vanaf 4.35 tot 4.35(ABAQ.3)C0
- Zyxel USG20W-VPN vanaf 4.35 tot 4.35(ABAR.3)C0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Nas326 Firmware 5.21(aazf.7)c0
- Nas520 Firmware 5.21(aasz.3)c0
- Nas540 Firmware 5.21(aatb.4)c0
- Nas542 Firmware 5.21(abag.4)c0
- Atp100 Firmware 4.35(abps.3)c0
- Atp200 Firmware 4.35(abfw.3)c0
- Atp500 Firmware 4.35(abfu.3)c0
- Atp800 Firmware 4.35(abiq.3)c0
- Usg20-Vpn Firmware 4.35(abaq.3)c0
- Usg20w-Vpn Firmware 4.35(abar.3)c0
- CVE gepubliceerd
- 4 maart 2020
- Op de KEV-lijst sinds
- 25 maart 2022
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Dit lek stamt al uit 2020 en wordt nu opnieuw actief misbruikt. Het zit in de inlogfunctie van Zyxel NAS-apparaten (netwerkopslag). Door speciale tekens in het veld voor de gebruikersnaam kan een aanvaller zonder inloggegevens eigen commando's laten uitvoeren op het apparaat. Daarmee is vrijwel zeker volledige controle (rootrechten) mogelijk.
Wie loopt risico?
Vooral oudere, niet bijgewerkte of niet meer ondersteunde systemen lopen risico. Het gaat om Zyxel NAS326, NAS520, NAS540 en NAS542 met firmware ouder dan de opgeloste versies. Voor NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 en NSA325v2 geldt dat ze end-of-support zijn. Ook als je NAS niet direct vanaf internet bereikbaar is, kan een aanval lukken via een website die jij bezoekt, zolang het apparaat vanaf jouw computer bereikbaar is.
Wat moet je doen?
Ga na of je dit product nog gebruikt
Controleer of je ergens een Zyxel NAS326, NAS520, NAS540, NAS542 of een van de NSA-modellen hebt staan, ook in een kantoor, thuisnetwerk of op een vergeten locatie. Kijk daarbij naar het type en de firmwareversie.
Werk de firmware bij
Voor NAS326, NAS520, NAS540 en NAS542 heeft Zyxel firmware uitgebracht. Installeer minimaal V5.21(AAZF.7)C0 (NAS326), V5.21(AASZ.3)C0 (NAS520), V5.21(AATB.4)C0 (NAS540) of V5.21(ABAG.4)C0 (NAS542).
Vervang apparaten die niet meer ondersteund worden
Voor de NSA-modellen die end-of-support zijn, staat in de gegevens geen update. Oude versies krijgen vaak geen updates meer. Vervang zo'n apparaat door een ondersteund model.
Schermen het apparaat af van internet
Kun je het apparaat nog niet vervangen, zorg dan dat het niet rechtstreeks vanaf internet bereikbaar is, bijvoorbeeld door port forwarding uit te zetten. Beperk ook de toegang vanuit je eigen netwerk tot de computers die het echt nodig hebben.
Volg het advies van de leverancier
Lees het advies van Zyxel over dit lek en volg de instructies voor jouw model. CISA vraagt om updates volgens de instructies van de leverancier toe te passen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het CGI-programma weblogin.cgi filtert de parameter username onvoldoende. Bevat die speciale tekens, dan kan een aanvaller via een speciaal opgestelde HTTP POST- of GET-aanvraag commando's laten uitvoeren met de rechten van de webserver. Die draait niet als root, maar op het apparaat staat een setuid-hulpprogramma waarmee elk commando met rootrechten kan worden uitgevoerd. Er is dus van uit te gaan dat misbruik leidt tot code-uitvoering op afstand met rootrechten, zonder authenticatie. Een aanval kan ook indirect plaatsvinden, bijvoorbeeld doordat een bezochte website zulke aanvragen naar een bereikbaar apparaat laat sturen. In de CPE-gegevens staan ook enkele Zyxel ATP- en USG20-VPN-firmwareversies als getroffen vermeld.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale tekens in een OS-commando (commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 100,0%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 25 maart 2022
- Deadline van CISA
- 15 april 2022
- Gebruikt door ransomwaregroepen
- Niet bekend