BDU:2025-00886

Опубликовано: 27 янв. 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Средний

Описание

Уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды с привилегиями «supervisor» или «zyuser» путём отправки специально сформированных сетевых запросов по протоколу telnet

Вендор

Zyxel Communications Corp.

Наименование ПО

Zyxel CPE Series

Версия ПО

- (Zyxel CPE Series)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удаленного доступа к интерфейсу управления уязвимых устройств;

- использование «белого» списка IP-адресов для ограничения удалённого доступа к уязвимым устройствам;

- использование SIEM-систем для отслеживания событий журнала, связанных с получением telnet-трафика;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания индикаторов компрометации, указывающих на попытки эксплуатации уязвимости;

- ограничение возможности использования протокола telnet;

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- ограничение доступа к устройствам из внешних сетей (Интернет).

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-40891
CVE

EPSS

Процентиль: 97%

0.39299

Средний

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-40891

CVSS3: 8.8

nvd

около 1 года назад

**UNSUPPORTED WHEN ASSIGNED** A post-authentication command injection vulnerability in the management commands of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute operating system (OS) commands on an affected device via Telnet.

GHSA-pm4h-579g-cgqq

CVSS3: 8.8

github

около 1 года назад

BDU:2025-01350

CVSS3: 9.8

fstec

около 1 года назад

Уязвимость микропрограммного обеспечения сетевых устройств Zyxel серии CPE, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнять произвольные команды

EPSS

Процентиль: 97%

0.39299

Средний

10 Critical

CVSS3

10 Critical

CVSS2