11.03.2025

BDU:2025-05043 (CVE-2024-12010) — уязвимость функции zyUtilMailSend микропрограммного обеспечения усилителей Wi-Fi абонентских терминалов Fiber

По данным БДУ ФСТЭК России, по состоянию на 30.04.2025.

Высокий — 7.2/10 Устранена

Уязвимость функции zyUtilMailSend микропрограммного обеспечения усилителей Wi-Fi, абонентских терминалов Fiber ONT, маршрутизаторов DSL/Ethernet CPE существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды

Кого касается и что делать

Уязвимое ПО: DX3300-T0 (Zyxel Communications) — версии до V5.50(ABVY.5.6)C0; DX3300-T1 (Zyxel Communications) — версии до V5.50(ABVY.5.6)C0; DX3301-T0 (Zyxel Communications) — версии до 5.50(ABVY.5.6)C0; и ещё 35 позиций
Что делать: уязвимость устранена производителем — применить исправления: www.zyxel.com

Сведения об уязвимости

Идентификаторы	BDU:2025-05043 · CVE-2024-12010
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.2; CVSS 2.0 — 9.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость функции zyUtilMailSend микропрограммного обеспечения усилителей Wi-Fi, абонентских терминалов Fiber ONT, маршрутизаторов DSL/Ethernet CPE, позволяющая нарушителю выполнять произвольные команды
Даты	Опубликована: 30.04.2025 · Обновлена ФСТЭК: 30.04.2025 · Выявлена: 11.03.2025
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

DX3300-T0 (Zyxel Communications) — до V5.50(ABVY.5.6)C0 · микропрограммный код
DX3300-T1 (Zyxel Communications) — до V5.50(ABVY.5.6)C0 · микропрограммный код
DX3301-T0 (Zyxel Communications) — до 5.50(ABVY.5.6)C0 · микропрограммный код
DX4510-B0 (Zyxel Communications) — до 5.17(ABYL.9)b1 · микропрограммный код
DX4510-B1 (Zyxel Communications) — до 5.17(ABYL.9)b1 · микропрограммный код
DX5401-B0 (Zyxel Communications) — до 5.17(ABYO.6.5)C0 · микропрограммный код
DX5401-B1 (Zyxel Communications) — до 5.17(ABYO.6.5)C0 · микропрограммный код
EE6510-10 (Zyxel Communications) — до 5.19(ACJQ.2)C0 · микропрограммный код
EX3300-T0 (Zyxel Communications) — до 5.50(ABVY.5.6)C0 · ПО сетевого программно-аппаратного средства
EX3300-T1 (Zyxel Communications) — до 5.50(ABVY.5.6)C0 · ПО сетевого программно-аппаратного средства
EX3301-T0 (Zyxel Communications) — до 5.50(ABVY.5.6)C0 · ПО сетевого программно-аппаратного средства
EX3500-T0 (Zyxel Communications) — до 5.44 (ACHR.3.1)C0 · ПО сетевого программно-аппаратного средства
EX3501-T0 (Zyxel Communications) — до 5.44 (ACHR.3.1)C0 · ПО сетевого программно-аппаратного средства
EX3510-B0 (Zyxel Communications) — до 5.17(ABUP.14)b1 · ПО сетевого программно-аппаратного средства
EX3510-B1 (Zyxel Communications) — до 5.17(ABUP.14)b1 · ПО сетевого программно-аппаратного средства
EX3600-T0 (Zyxel Communications) — до 5.70(ACIF.1)C0 · ПО сетевого программно-аппаратного средства
EX5401-B0 (Zyxel Communications) — до 5.17(ABYO.6.5)C0 · ПО сетевого программно-аппаратного средства
EX5401-B1 (Zyxel Communications) — до 5.17(ABYO.6.5)C0 · ПО сетевого программно-аппаратного средства
EX5501-B0 (Zyxel Communications) — до 5.17(ABRY.5.4)C0 · ПО сетевого программно-аппаратного средства
EX5510-B0 (Zyxel Communications) — до 5.17(ABQX.11)b2 · ПО сетевого программно-аппаратного средства
EX5512-T0 (Zyxel Communications) — до 5.70(ACEG4.3)C0 · ПО сетевого программно-аппаратного средства
EX5601-T0 (Zyxel Communications) — до 5.70(ACDZ.4)C0 · ПО сетевого программно-аппаратного средства
EX5601-T1 (Zyxel Communications) — до 5.70(ACDZ.4)C0 · ПО сетевого программно-аппаратного средства
EX7501-B0 (Zyxel Communications) — до 5.18(ACHN.2)C0 · ПО сетевого программно-аппаратного средства
EX7710-B0 (Zyxel Communications) — до 5.18(ACAK.1.2)C0 · ПО сетевого программно-аппаратного средства
EMG3525-T50B (Zyxel Communications) — до 5.50(ABPM.9.4)C0 · ПО сетевого программно-аппаратного средства
EMG5523-T50B (Zyxel Communications) — до 5.50(ABPM.9.4)C0 · ПО сетевого программно-аппаратного средства
EMG5723-T50K (Zyxel Communications) — до 5.50(ABOM.8.6)C0 · ПО сетевого программно-аппаратного средства
VMG3625-T50B (Zyxel Communications) — до 5.50(ABPM.9.4)C0 · ПО сетевого программно-аппаратного средства
VMG3927-T50K (Zyxel Communications) — до 5.50(ABOM.8.6)C0 · ПО сетевого программно-аппаратного средства
VMG8623-T50B (Zyxel Communications) — до 5.50(ABPM.9.4)C0 · ПО сетевого программно-аппаратного средства
VMG8825-T50K (Zyxel Communications) — до 5.50(ABOM.8.6)C0 · ПО сетевого программно-аппаратного средства
AX7501-B0 (Zyxel Communications) — до 5.17(ABPC.6)C0 · микропрограммный код
AX7501-B1 (Zyxel Communications) — до 5.17(ABPC.6)C0 · микропрограммный код
PX3321-T1 (Zyxel Communications) — до 5.44(ACJB.1.2)C0 · микропрограммный код
PX5301-T0 (Zyxel Communications) — до 5.44(ACKB.0.2)C0 · микропрограммный код
WX5600-T0 (Zyxel Communications) — до 5.70(ACEB.4)C0 · микропрограммный код
WX5610-B0 (Zyxel Communications) — до 5.18(ACGJ.0.2)C0 · микропрограммный код

Возможные меры по устранению уязвимости

Обновление.

Использование рекомендаций
www.zyxel.com/global/en/support/security-advisories/zyxel…

Источники

www.zyxel.com/global/en/support/security-advisories/zyxel…

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: