Aktywnie wykorzystywana w atakach

Zyxel DSL CPE OS Command Injection Vulnerability

Zyxel - DSL CPE Devices · Figuruje w katalogu CISA KEV od 2025-02-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

CVE-2024-40890

WysokieCVSS 8.8KEV

Opublikowano: 04/02/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Podatność na wstrzyknięcie poleceń po uwierzytelnieniu w programie CGI przestarzałego DSL CPE Zyxel VMG4325-B10A w wersji firmware 1.00(AAFR.4)C0_20170615 pozwala uwierzytelnionemu atakującemu na wykonanie poleceń systemu operacyjnego na urządzeniu poprzez wysłanie spreparowanego żądania HTTP POST.

Ocena ryzyka

Ryzyko obejmuje możliwość pełnego przejęcia urządzenia przez uwierzytelnionego atakującego, co może prowadzić do naruszenia bezpieczeństwa sieci.

Rekomendacja

Ze względu na brak wsparcia producenta, zaleca się wycofanie tych urządzeń z eksploatacji i zastąpienie ich nowszymi modelami.

Inne podatności w Zyxel VMG4325-B10A

CVE-2024-40891WysokieAktywnie exploitowane
Podatność na wstrzyknięcie poleceń po uwierzytelnieniu w poleceniach zarządzania przestarzałego DSL CPE Zyxel VMG4325-B10A w wersji firmware 1.00(AAFR.4)C0_20170615 pozwala uwierzytelnionemu atakującemu na wykonanie poleceń systemu operacyjnego na urządzeniu przez Telnet.

Oryginalny opis (angielski, źródło NVD)

**UNSUPPORTED WHEN ASSIGNED** A post-authentication command injection vulnerability in the CGI program of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute operating system (OS) commands on an affected device by sending a crafted HTTP POST request.