1. 通告信息内容

2021年1月4日，安识高新科技A-Team精英团队检测到Zyxel 公布了一个内嵌账号登录的安全性通告，漏洞序号为CVE-2020-29583。Zyxel（合勤科技）是国际性著名的宽带网络系统软件及解决方法的经销商。zyxel 的服务器防火墙，AP控制板商品中存有一处漏洞，漏洞容许应用客户zyfwp以admin管理权限登陆受影响的机器设备。现阶段，Zyxel早已公布了此漏洞的一部分安全补丁，安识高新科技提议众多客户立即升级，以防遭到此漏洞进攻。

2. 漏洞简述

Zyxel服务器防火墙和AP控制板中包括一个zyfwp账号，该帐户内置在机器设备固定件中，没法查询、删掉和更改密码，该帐户功效为根据ftp全自动对机器设备下达固件升级，但因不正确配备造成 网络攻击能够利用该账号以访问权限登陆。

3. 漏洞伤害

网络攻击能够利用zyfwp帐户以访问权限登陆机器设备。

4. 危害版本

漏洞危害的版本包含：

zyxel:ap_controller_nxc_2500: *

zyxel:ap_controller_nxc_5500: *

zyxel:atp_firmware: 4.60

zyxel:usg_firmware: 4.60

zyxel:usg_flex_firmware: 4.60

zyxel:vpn_firmware: 4.60

5. 解决方法

Zyxel早已公布安全补丁，安识高新科技提议众多客户立即前去官方网站开展升级修补。

6. 时间线

【-】2020年12月23日 Zyxel官方发布安全性公示

【-】2021年1月4日 安识高新科技A-Team精英团队依据公示剖析

【-】2021年1月4日 安识高新科技A-Team精英团队公布安全性通告