兆勤科技安全漏洞公告：GS1900 系列交換器中網頁驗證 Token 生成的熵值不足漏洞

CVE 編號： CVE-2024-38270

摘要

Zyxel 已針對受熵值不足漏洞影響的 GS1900 系列交換器發布了更新檔。建議用戶盡速安裝這些更新檔以獲得最佳保護。

安全漏洞產生哪些狀況？

在 Zyxel GS1900 系列交換器的韌體中發現了一個熵值不足漏洞，該漏洞源於隨機函數使用不當，導致網頁驗證 Token 生成熵值過低。這個漏洞可能讓基於局域網的攻擊者在多個已驗證會話仍然有效的情況下，猜測出有效的會話 Token。

哪些版本可能受到攻擊，應該怎麼做？

經過全面調查，我們已經確認在此次安全漏洞易受攻擊的產品，並發布了更新檔來解決這些漏洞，如下表所示。

如何獲得協助？

如有任何問題，請聯繫 Zyxel 經銷商、Zyxel 技術團隊（0800-500-550），或至官方 Zyxel 中文論壇，我們將會提供進一步協助與說明。

致謝

感謝 Steinar H. Gunderson 向我們回報此問題。

修訂記錄

2024-9-10：初始版本。