KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-29583 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Firmware version 4.60 of Zyxel USG devices contains an undocumented account (zyfwp) with an unchangeable password. The password for this account can be found in cleartext in the firmware. This account can be used by someone to login to the ssh server or web interface with admin privileges.
影响范围
系统：zyxel usg1100_firmware（版本 4.60）
系统：zyxel usg110_firmware（版本 4.60）
系统：zyxel usg1900_firmware（版本 4.60）
系统：zyxel usg20-vpn_firmware（版本 4.60）
系统：zyxel usg20w-vpn_firmware（版本 4.60）
系统：zyxel usg210_firmware（版本 4.60）
系统：zyxel usg2200_firmware（版本 4.60）
系统：zyxel usg310_firmware（版本 4.60）
……另有 22 项受影响环境，详见官方公告
解决方案
修改弱口令。
参考信息
http://ftp.zyxel.com/USG40/firmware/USG40_4.60%28AALA.1%29C0_2.pdf
https://businessforum.zyxel.com/discussion/5252/zld-v4-60-revoke-and-wk48-firmware-release
https://businessforum.zyxel.com/discussion/5254/whats-new-for-zld4-60-patch-1-available-on-dec-15
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-29583
https://www.eyecontrol.nl/blog/undocumented-user-account-in-zyxel-products.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。