合勤科技針對NAS、防火牆遠端連線漏洞修補方案公告(更新資訊)
CVE-2020-9054 安全性漏洞修補方案
部分Zyxel NAS 和防火牆韌體用於網頁登入認證的Weblogin.cgi 元件，發現有遠端連線漏洞，並可能藉由此途徑遭植入後門程式或攻擊。請使用者立即下載新版韌體，並依循解決方案獲得最佳保護。
合勤科技全面盤查產品後，確認會受到影響的產品如下：
NAS韌體版本：V5.21或更早版本
防火牆 (ATP/USG/VPN系列) 韌體版本：ZLD V4.35 (更早版本不受影響)
即日起，您可以對應下表設備型號，下載新版韌體如下：
| 受影響產品 | 型號 | 新版韌體 |
|---|---|---|
| 網路儲存設備 | NAS326 | Firmware V5.21(AAZF.10)C0 |
| NAS520 | Firmware V5.21(AASZ.3)C0* | |
| NAS540 | Firmware V5.21(AATB.7)C0 | |
| NAS542 | Firmware V5.21(ABAG.7)C0 | |
| 防火牆 | ATP100 | Firmware V4.35(ABPS.3)C0 |
| ATP200 | Firmware V4.35(ABFW.3)C0 | |
| ATP500 | Firmware V4.35(ABFU.3)C0 | |
| ATP800 | Firmware V4.35(ABIQ.3)C0 | |
| USG20-VPN | Firmware V4.35(ABAQ.3)C0 | |
| USG20W-VPN | Firmware V4.35(ABAR.3)C0 | |
| USG40 | Firmware V4.35(AALA.3)C0 | |
| USG40W | Firmware V4.35(AALB.3)C0 | |
| USG60 | Firmware V4.35(AAKY.3)C0 | |
| USG60W | Firmware V4.35(AAKZ.3)C0 | |
| USG110 | Firmware V4.35(AAPH.3)C0 | |
| USG210 | Firmware V4.35(AAPI.3)C0 | |
| USG310 | Firmware V4.35(AAPJ.3)C0 | |
| USG1100 | Firmware V4.35(AAPK.3)C0 | |
| USG1900 | Firmware V4.35(AAPL.3)C0 | |
| USG2200 | Firmware V4.35(ABAE.3)C0 | |
| VPN50 | Firmware V4.35(ABHL.3)C0 | |
| VPN100 | Firmware V4.35(ABFV.3)C0 | |
| VPN300 | Firmware V4.35(ABFC.3)C0 | |
| VPN1000 | Firmware V4.35(ABIP.3)C0 | |
| ZyWALL110 | Firmware V4.35(AAAA.3)C0 | |
| ZyWALL310 | Firmware V4.35(AAAB.3)C0 | |
| ZyWALL1100 | Firmware V4.35(AAAC.3)C0 |
*由於NAS520已停產，若您需要進一步取得相關更新韌體，請與我們聯絡。
若您對NAS 產品韌體安裝上有任何疑問，可先至官方論壇參考相關文章：
https://community.zyxel.com/en/discussion/8525/faq-upgrading-latest-nas-remote-code-execution-vulnerability-firmware
對於已過保設備(2016年以前)，將不提供更新版韌體，使用者可依下列建議避免此安全性風險：
| 受影響產品(已過保) | 型號 | 安全建議方案 |
|---|---|---|
| 網路儲存設備 | NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 and NSA325v2 |
建議將此類產品接在防火牆防護內層，避免直接暴露在網際網路而遭受攻擊。 |
2022 年 1 月 27 日更新
根據近期研究指出，一款名為BotenaGo的新型惡意軟體，會利用已知的CVE 漏洞，鎖定多家廠商的設備發起攻擊行動。我們強烈建議有使用上述設備之用戶，儘快更新韌體或採取行動，以獲得最佳保護。
需要協助嗎？
歡迎與我們聯繫，或至Zyxel中文論壇留言並查看更多訊息。
如有疑問，請與我們聯繫(官網：https://www.zyxel.com/tw/zh/form/contact_us.shtml；客服電話0800-500-550)
最新資訊公告時程：
2020-3-2：公告發布
2020-3-4：防火牆新版韌體公告
2020-3-9：網路儲存設備新版韌體公告
2022-1-28: NAS326、NAS540、NAS542韌體修補版本更新；新增近期有關BotenaGo惡意軟體研究之回應