Aktywnie wykorzystywana w atakach

Zyxel DSL CPE OS Command Injection Vulnerability

Zyxel - DSL CPE Devices · Figuruje w katalogu CISA KEV od 2025-02-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

CVE-2024-40891

WysokieCVSS 8.8KEV

Opublikowano: 04/02/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Podatność na wstrzyknięcie poleceń po uwierzytelnieniu w poleceniach zarządzania przestarzałego DSL CPE Zyxel VMG4325-B10A w wersji firmware 1.00(AAFR.4)C0_20170615 pozwala uwierzytelnionemu atakującemu na wykonanie poleceń systemu operacyjnego na urządzeniu przez Telnet.

Ocena ryzyka

Ryzyko obejmuje możliwość pełnego przejęcia urządzenia przez uwierzytelnionego atakującego, co może prowadzić do naruszenia bezpieczeństwa sieci.

Rekomendacja

Ze względu na brak wsparcia producenta, zaleca się wycofanie tych urządzeń z eksploatacji i zastąpienie ich nowszymi modelami.

Inne podatności w Zyxel VMG4325-B10A

CVE-2024-40890WysokieAktywnie exploitowane
Podatność na wstrzyknięcie poleceń po uwierzytelnieniu w programie CGI przestarzałego DSL CPE Zyxel VMG4325-B10A w wersji firmware 1.00(AAFR.4)C0_20170615 pozwala uwierzytelnionemu atakującemu na wykonanie poleceń systemu operacyjnego na urządzeniu poprzez wysłanie spreparowanego żądania HTTP POST.

Oryginalny opis (angielski, źródło NVD)

**UNSUPPORTED WHEN ASSIGNED** A post-authentication command injection vulnerability in the management commands of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute operating system (OS) commands on an affected device via Telnet.