ताइवान के हार्डवेयर निर्माता Zyxel का कहना है कि इसके पास संभावित रूप से हजारों ग्राहकों को प्रभावित करने वाली दो सक्रिय रूप से शोषित कमजोरियों के लिए एक पैच जारी करने की कोई योजना नहीं है।
धमकी खुफिया स्टार्टअप GREYNOISE आगाह पिछले महीने के अंत में कि ज़ीक्सेल राउटर को प्रभावित करने वाले एक महत्वपूर्ण रेटेड शून्य-दिन की भेद्यता का सक्रिय रूप से शोषण किया जा रहा था। GREYNOISE ने कहा कि खामियां हमलावरों को प्रभावित उपकरणों पर मनमानी कमांड को निष्पादित करने की अनुमति देती हैं, जिससे सिस्टम समझौता, डेटा एक्सफिल्ट्रेशन, या नेटवर्क घुसपैठ को पूरा किया जाता है।
कमजोरियों की खोज पिछले साल जुलाई में थ्रेट इंटेलिजेंस ऑर्गनाइजेशन वुल्नचेक द्वारा की गई थी और ग्रेनोइज़ के अनुसार, अगले महीने Zyxel को सूचित किया गया था, लेकिन निर्माता द्वारा अभी तक पैच या औपचारिक रूप से खुलासा नहीं किया गया था।
में परामर्शी इस हफ्ते, Zyxel ने कहा कि यह “हाल ही में” दो कमजोरियों से अवगत हो गया है-अब औपचारिक रूप से CVE-2024-40890 और CVE-2024-40891 के रूप में ट्रैक किया गया है-जो यह कहता है कि कई अंत-जीवन उत्पादों को प्रभावित करते हैं।
कंपनी का दावा है कि वल्कचेक द्वारा खामियों की सूचना नहीं दी गई थी और कहते हैं कि यह पहली बार 29 जनवरी को उनके बारे में पता चला, जब ग्रिनोइस ने सक्रिय शोषण की सूचना दी थी।
Zyxel, जिनके उपकरणों का उपयोग 1 मिलियन से अधिक व्यवसायों द्वारा किया जाता हैकहते हैं कि चूंकि ये कीड़े “विरासत उत्पादों को प्रभावित करते हैं जो जीवन के अंत तक पहुंच गए हैं [EOL] सालों तक “उन्हें ठीक करने के लिए पैच जारी करने की कोई योजना नहीं है। इसके बजाय, कंपनी ग्राहकों को सलाह दे रही है कि वे “इष्टतम सुरक्षा के लिए नई पीढ़ी के उत्पादों” के साथ कमजोर राउटर को बदल दें।
में मंगलवार को एक ब्लॉग पोस्टवुल्नचेक नोट करता है कि प्रभावित डिवाइस ज़ीक्सेल के ईओएल पेज पर सूचीबद्ध नहीं हैं और कहते हैं कि कुछ प्रभावित मॉडल अभी भी अमेज़ॅन के माध्यम से खरीदने के लिए उपलब्ध हैं, जिसे टेकक्रंच ने पुष्टि की है।
वुल्नचेक के सीटीओ ने कहा, “जबकि ये सिस्टम पुराने हैं और लंबे समय से समर्थन से बाहर हैं, वे दुनिया भर में अपने निरंतर उपयोग और हमलावरों से निरंतर ब्याज के कारण अत्यधिक प्रासंगिक हैं।”
के अनुसार सीनइंटरनेट ऑफ थिंग्स डिवाइस और इंटरनेट परिसंपत्तियों के लिए एक खोज इंजन, लगभग 1,500 कमजोर उपकरण इंटरनेट के संपर्क में हैं।
पिछले हफ्ते एक अपडेट में, ग्रीनोइज़ ने कहा कि इसने मिराई सहित बोटनेट्स का पता लगाया था, जो कि ज़ीक्सेल कमजोरियों में से एक का शोषण करता है, यह सुझाव देते हुए कि बड़े पैमाने पर हमलों में इसका उपयोग किया जा रहा है।
Zyxel के प्रवक्ता Birgitte Larsen ने TechCrunch के टिप्पणी के लिए कई अनुरोधों का जवाब नहीं दिया।