Уязвимость BDU:2025-01350
Идентификатор: BDU:2025-01350.
Наименование уязвимости: Уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнять произвольные команды.
Описание уязвимости: Уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды с привилегиями «supervisor» или «zyuser» путём отправки специально сформированных сетевых запросов по протоколу HTTP
Уязвимое ПО: ПО сетевого программно-аппаратного средства Zyxel Communications Corp. Zyxel CPE Series — |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 27.01.2025.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению:
Компенсирующие меры:
— использование средств межсетевого экранирования для ограничения удаленного доступа к интерфейсу управления уязвимых устройств;
— использование «белого» списка IP-адресов для ограничения удалённого доступа к уязвимым устройствам;
— использование SIEM-систем для отслеживания событий журнала, связанных с получением telnet-трафика;
— использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания индикаторов компрометации, указывающих на попытки эксплуатации уязвимости;
— использование виртуальных частных сетей для организации удаленного доступа (VPN);
— ограничение доступа к устройствам из внешних сетей (Интернет)..
Статус уязвимости: Потенциальная уязвимость
Наличие эксплойта: Существует
Информация об устранении: Информация об устранении отсутствует
Идентификаторы других систем описаний уязвимости: CVE-2024-40890.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-unpatched-flaw-in-zyxel-cpe-devices/
https://vulncheck.com/signin?redirect=/cve/CVE-2024-40891
https://www.securitylab.ru/news/555934.php
https://www.zyxel.com/fi/fi/products/dsl-cpe
https://viz.greynoise.io/tags/zyxel-cpe-cve-2024-40891-command-injection-attempt?days=1
https://www.securityweek.com/new-zyxel-zero-day-under-attack-no-patch-available/
https://www.darkreading.com/endpoint-security/unpatched-zyxel-cpe-zero-day-cyberattacker
https://thehackernews.com/2025/01/zyxel-cpe-devices-face-active.html
https://securityaffairs.com/173589/hacking/zyxel-cpe-series-devices-cve-2024-40891-exploited.html
