27.01.2025

BDU:2025-01350 (CVE-2024-40890) — уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE

По данным БДУ ФСТЭК России, по состоянию на 11.02.2025.

Критический — 9.8/10 Существует эксплойт Есть инциденты ИБ Нет исправления

Уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды с привилегиями «supervisor» или «zyuser» путём отправки специально сформированных сетевых запросов по протоколу HTTP

Кого касается и что делать

Уязвимое ПО: Zyxel CPE Series (Zyxel Communications)
Что делать: применить компенсирующие меры (см. раздел мер ниже)
Эксплойт: существует — обновление не откладывать

Сведения об уязвимости

Идентификаторы	BDU:2025-01350 · CVE-2024-40890
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнять произвольные команды
Даты	Опубликована: 11.02.2025 · Обновлена ФСТЭК: 11.02.2025 · Выявлена: 27.01.2025
Статус уязвимости	Потенциальная уязвимость (наличие не подтверждено производителем, сведения проверяются)
Наличие эксплойта	Существует (эксплойт известен, в открытом доступе не опубликован)
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет)
Тип ошибки	CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

Zyxel CPE Series (Zyxel Communications) — ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Если обновиться нельзя

использование средств межсетевого экранирования для ограничения удаленного доступа к интерфейсу управления уязвимых устройств
использование «белого» списка IP-адресов для ограничения удалённого доступа к уязвимым устройствам
использование SIEM-систем для отслеживания событий журнала, связанных с получением telnet-трафика
использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания индикаторов компрометации, указывающих на попытки эксплуатации уязвимости
использование виртуальных частных сетей для организации удаленного доступа (VPN)
ограничение доступа к устройствам из внешних сетей (Интернет).

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: