Verschillende routers van fabrikant ZyXEL bevatten meerdere kwetsbaarheden, waaronder een zwak standaardwachtwoord, waardoor aanvallers op afstand toegang tot de apparaten kunnen krijgen. Dat meldt het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit.

Het eerste probleem betreft het standaardwachtwoord '1234' voor het beheerdersaccount van de ZyXEL P-660HW-T1 v2, PMG5318-B20A en NBG-418N. Dit laatste model wordt ook in Nederland verkocht. Daarnaast zijn er nog veel meer modellen die hetzelfde wachtwoord delen. Verder is de P-660HW-T1 v2 kwetsbaar voor cross-site scripting.

De PMG5318-B20A blijkt de invoer van gebruikers niet goed te controleren, waardoor een aanvaller commando's met rootrechten kan uitvoeren en deze router blijkt gebruikers ook niet goed uit te loggen. Zelfs als de gebruiker is uitgelogd blijft de sessie nog tenminste 1 uur actief, waar een aanvaller misbruik van kan maken. De PMG5318-B20A blijkt verder het normale gebruikersaccount niet te beperken. Daardoor heeft een normale gebruiker volledige beheerderstoegang, in plaats van beperkte toegang.

ZyXEL heeft een aantal van de problemen via firmware-updates verholpen en zal deze maand een aantal van de andere kwetsbaarheden verhelpen. Verder worden bepaalde modellen niet meer ondersteund. Wat betreft het zwakke standaardwachtwoord van '1234' stelt ZyXEL dat gebruikers er verstandig aan doen om het wachtwoord na de eerste keer inloggen aan te passen. Bij verschillende modellen zou het instellen van een nieuw wachtwoord inmiddels verplicht zijn.