CISA warnt vor aktiven Exploits bei Zyxel GS1900 Switches

TL;DR

• Zyxel GS1900 Switches sind anfällig für einen Stack-based Buffer Overflow, der es nicht authentifizierten Angreifern ermöglicht, beliebige Systembefehle auszuführen [^1].
• Die CISA hat die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen und bestätigt damit, dass Angreifer die Lücke in produktiven Umgebungen aktiv ausnutzen [^2].

Hintergrund

Netzwerk-Switches bilden das Rückgrat der Büro- und Heim-Infrastruktur und verwalten den Datenfluss zwischen verbundenen Geräten. Die Zyxel GS1900-Serie ist eine beliebte Reihe verwaltbarer Switches für kleine bis mittlere Unternehmen. Diese Geräte verfügen über eine webbasierte Verwaltungsoberfläche, auf die normalerweise über einen HTTP-Server auf der Switch-Hardware zugegriffen wird. Über diese Schnittstelle können Administratoren VLANs konfigurieren, den Datenverkehr überwachen und Firmware-Updates über einen Standard-Browser durchführen. Die Wartung solcher Schnittstellen erfordert jedoch ein sorgfältiges Speichermanagement, da jeder Fehler im Code das zugrunde liegende Betriebssystem für externe Eingaben öffnen kann.

Was passiert ist

Die Schwachstelle, geführt unter CVE-2026-7273, betrifft das Common Gateway Interface (CGI)-Programm, das die Zyxel GS1900-Serie zur Verarbeitung von Webanfragen verwendet [^1]. Ein Stack-based Buffer Overflow tritt auf, wenn das Programm versucht, eine eingehende HTTP-Anfrage in einen Speicherpuffer fester Größe zu kopieren, ohne die Länge dieser Daten ordnungsgemäß zu überprüfen [^1]. Wenn ein Angreifer eine manipulierte Anfrage sendet, die die Kapazität des Puffers überschreitet, überschreiben die überschüssigen Daten angrenzenden Speicher auf dem Stack, einschließlich kritischer Kontrollzeiger, die den Ausführungsfluss des Programms bestimmen [^1].

Da dieser Overflow im CGI-Programm auftritt, kann ein nicht authentifizierter Angreifer im lokalen Netzwerk die Schwachstelle einfach durch das Senden einer bösartigen HTTP-Anfrage an den Verwaltungsport des Switches auslösen [^1]. Durch eine präzise Strukturierung des Payloads kann der Angreifer den Ausführungszeiger des Programms kapern und auf Shellcode umleiten – ein kleines Stück Code, das das zugrunde liegende Betriebssystem anweist, unbefugte Aktionen auszuführen. Sobald dieser Code mit den Privilegien des Verwaltungsprozesses ausgeführt wird, erhält der Angreifer die Möglichkeit, beliebige Systembefehle auszuführen und übernimmt effektiv die Kontrolle über den Switch [^1][^2].

Die Schwere dieses Problems wird durch die einfache Ausführung noch verschärft. Der Angreifer benötigt keine legitimen Anmeldedaten oder vorherigen Zugriff auf die Konfiguration des Switches. Er muss lediglich in der Lage sein, die Verwaltungsschnittstelle des Geräts über das Netzwerk zu erreichen. Die CISA hat bestätigt, dass diese Schwachstelle kein theoretisches Risiko darstellt, sondern derzeit aktiv von bösartigen Akteuren ausgenutzt wird [^2]. Dies deutet darauf hin, dass der Exploit zuverlässig ist und Angreifer gezielt nach diesen Geräten suchen, um einen ersten Fuß in Unternehmensnetzwerke zu bekommen.

Warum es wichtig ist

Buffer Overflows bleiben eine der gefährlichsten Klassen von Softwareschwachstellen, da sie die grundlegenden Sicherheitsannahmen des Zielsystems umgehen. Durch das Einschleusen von bösartigem Code direkt in den Ausführungspfad eines vertrauenswürdigen Systemprozesses kann ein Angreifer mit denselben Privilegien wie die Verwaltungssoftware des Geräts agieren. Für einen Netzwerk-Switch ist dies besonders katastrophal. Ein kompromittierter Switch fungiert als zentraler Knotenpunkt für den gesamten Netzwerkverkehr, was es einem Angreifer ermöglicht, Daten abzufangen, auf andere sensible interne Systeme zuzugreifen oder die Netzwerkkonnektivität vollständig zu unterbrechen, um den Betrieb zu stören.

Darüber hinaus unterstreicht das Vorhandensein dieser Schwachstelle in einem weit verbreiteten Unternehmensprodukt die systemischen Risiken, die mit veralteten Verwaltungsschnittstellen verbunden sind. Hersteller priorisieren bei ihren Webschnittstellen oft Funktionsumfang und Benutzerfreundlichkeit, manchmal auf Kosten einer strikten Speichersicherheit. Wenn diese Schnittstellen dem Netzwerk ausgesetzt sind, werden sie zu einem idealen Ziel für Aufklärung und Ausnutzung. Da die CISA dies als aktiv ausgenutzte Schwachstelle eingestuft hat, ist das Zeitfenster für die Behebung extrem kurz. Organisationen, die auf Zyxel GS1900-Hardware setzen, müssen dies als Vorfall mit hoher Priorität behandeln, da der Switch oft die erste Verteidigungslinie in einem Netzwerksegment darstellt.

Ein Beispiel aus der Praxis

Stell dir vor, du verwaltest das Netzwerk für eine kleine Logistikfirma. Dein Büro nutzt mehrere Zyxel GS1900-Switches, um Drucker, Workstations und VoIP-Telefone zu verbinden. Du hast die Web-Verwaltungsschnittstelle auf diesen Switches aktiviert gelassen, damit du VLAN-Einstellungen schnell von deinem Schreibtisch aus aktualisieren kannst.

Ein Angreifer erhält Zugriff auf das WLAN des Büros und scannt nach aktiven Geräten. Er identifiziert die Verwaltungsseite deines Switches. Anstatt zu versuchen, dein Passwort zu erraten, verwendet er ein Skript, um eine speziell fehlerhafte HTTP-Anfrage an den Switch zu senden. Die Anfrage überflutet den internen Speicherpuffer des Switches, wodurch das Gerät den benutzerdefinierten Code des Angreifers ausführt. Innerhalb von Sekunden erhält der Angreifer Root-Zugriff auf das Betriebssystem des Switches, was es ihm ermöglicht, den gesamten Datenverkehr von deiner Workstation auf seine eigene Maschine zu spiegeln, wo er beginnt, deine unverschlüsselten Anmeldedaten zu erfassen.

Passende Produkte

Wir empfehlen dieses Buch, weil es eine umfassende Erklärung dazu liefert, wie Buffer Overflows und Speicherfehler auf Maschinenebene tatsächlich funktionieren.