CVE-2024-40891
Zyxel DSL CPE OS Command Injection Vulnerability
Beschreibung
CVE-2024-40891 ist eine Post-Authentication Command Injection-Schwachstelle in den Management-Befehlen des Legacy DSL CPE Zyxel VMG4325-B10A mit Firmware-Version 1.00(AAFR.4)C0_20170615. Ein authentifizierter Angreifer kann ueber Telnet beliebige Betriebssystembefehle auf dem betroffenen Geraet ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 8.8 (HIGH) bewertet und wurde als Unsupported When Assigned klassifiziert, da das Geraet keine Sicherheitsupdates mehr erhaelt.
Der EPSS-Score von 39.30 % (97.2. Perzentil) signalisiert eine sehr hohe Ausnutzungswahrscheinlichkeit. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Neben dem VMG4325-B10A sind zahlreiche weitere Legacy-Modelle der VMG- und SBG-Serien betroffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | vmg1312-b10a firmware | - |
| zyxel | vmg1312-b10b firmware | - |
| zyxel | vmg1312-b10e firmware | - |
| zyxel | vmg3312-b10a firmware | - |
| zyxel | vmg3313-b10a firmware | - |
| zyxel | vmg3926-b10b firmware | - |
| zyxel | vmg4325-b10a firmware | - |
| zyxel | vmg4380-b10a firmware | - |
| zyxel | vmg8324-b10a firmware | - |
| zyxel | vmg8924-b10a firmware | - |
| zyxel | sbg3300-n000 firmware | - |
| zyxel | sbg3300-nb00 firmware | - |
| zyxel | sbg3500-n000 firmware | - |
| zyxel | sbg3500-nb00 firmware | - |
Referenzen
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-insecure-default-credentials-vulnerabilities-in-certain-legacy-dsl-cpe-02-04-2025(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-40891(US Government Resource)
Schwachstellentyp
Command Injection (OS Command Injection)
CVE-2024-40891 basiert auf einer Command Injection-Schwachstelle, die CWE-78 (OS Command Injection) zuzuordnen ist. Bei dieser Schwachstellenklasse werden Benutzereingaben in Betriebssystembefehle eingeschleust, ohne dass Sonderzeichen oder Metazeichen ordnungsgemaess neutralisiert werden. Im Fall des Zyxel VMG4325-B10A koennen ueber die Telnet-Management-Schnittstelle manipulierte Befehle eingegeben werden, die direkt als Betriebssystembefehle ausgefuehrt werden.
Weitere Informationen: CWE-78 -- OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-40891 betreffen Vertraulichkeit, Integritaet und Verfuegbarkeit jeweils mit hohem Schweregrad. Der CVSS-Vektor zeigt einen Netzwerk-Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L) und niedrigen Privilegienanforderungen (PR:L) -- ein authentifizierter Benutzer ohne besondere Administratorrechte kann die Schwachstelle ausnutzen. Da DSL-CPE-Geraete als Gateway zum Internet fungieren, ermoeglicht eine Kompromittierung dem Angreifer die vollstaendige Kontrolle ueber den Netzwerkverkehr. Er kann Daten abfangen, DNS-Einstellungen manipulieren, Malware verbreiten oder das Geraet als Ausgangspunkt fuer weitere Angriffe im internen Netzwerk nutzen. Der EPSS-Score von 39.30 % (97.2. Perzentil) stuft diese Schwachstelle unter die am haeufigsten ausgenutzten ein. Der Ransomware-Status ist als unbekannt klassifiziert, wobei kompromittierte Router haeufig als Teil von Botnetzen oder fuer Credential-Diebstahl missbraucht werden.
Exploit-Reifegrad
CVE-2024-40891 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 4. Maerz 2025, und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 39.30 % (97.2. Perzentil) unterstreicht die ausserordentlich hohe Ausnutzungswahrscheinlichkeit. Besonders kritisch ist der Unsupported When Assigned-Status der Schwachstelle: Das betroffene Geraet erhaelt keine Sicherheitsupdates mehr, und Zyxel hat in einem Security Advisory bestaetigt, dass ausschliesslich Mitigationsmassnahmen moeglich sind. Die Kombination aus Netzwerkerreichbarkeit, niedrigen Privilegienanforderungen und fehlendem Patch macht diese Schwachstelle zu einem bevorzugten Ziel fuer Angreifer.
Behebung
-
Geraet ersetzen: Da der Zyxel VMG4325-B10A und die weiteren betroffenen Legacy-Modelle keine Sicherheitsupdates mehr erhalten, empfiehlt Zyxel den Austausch durch ein aktuell unterstuetztes Modell. Dies ist die einzig nachhaltige Loesung.
-
Telnet deaktivieren: Deaktivieren Sie den Telnet-Zugang auf allen betroffenen Geraeten umgehend, da die Schwachstelle ueber diese Schnittstelle ausgenutzt wird. Pruefen Sie, ob die Geraeteverwaltung ausschliesslich ueber HTTPS moeglich ist.
-
Fernzugriff einschraenken: Beschraenken Sie den Zugriff auf die Management-Schnittstellen auf vertrauenswuerdige IP-Adressen und deaktivieren Sie jeglichen Fernzugriff aus dem Internet. Stellen Sie sicher, dass WAN-seitige Verwaltungsports geschlossen sind.
-
Zugangsdaten aendern: Aendern Sie alle Standardpasswoerter und administrative Zugangsdaten auf den betroffenen Geraeten. Verwenden Sie starke, eindeutige Passwoerter fuer jeden Management-Zugang.
-
Netzwerkueberwachung: Ueberwachen Sie den Netzwerkverkehr zu den betroffenen Geraeten auf ungewoehnliche Telnet-Verbindungen und verdaechtige Befehlsmuster. Pruefen Sie vorhandene Logs auf Anzeichen einer bereits erfolgten Kompromittierung.
Technische Details
CVE-2024-40891 betrifft die Telnet-Management-Schnittstelle des Zyxel VMG4325-B10A mit Firmware 1.00(AAFR.4)C0_20170615 sowie zahlreiche weitere Legacy-DSL-CPE-Modelle. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen Angriff, der ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) und niedrigen Privilegien (PR:L) durchfuehrbar ist. Die Schwachstelle liegt in der unzureichenden Validierung von Eingaben in den Management-Befehlen der Telnet-Schnittstelle. Ein authentifizierter Benutzer kann manipulierte Befehle senden, die als Betriebssystembefehle auf dem zugrundeliegenden Linux-System ausgefuehrt werden. Die fehlende Eingabesanitisierung ermoeglicht das Einschleusen von Shell-Metazeichen und Befehlsketten, wodurch der Angreifer vollstaendige Kontrolle ueber das Geraet erlangt. Betroffen sind die Modelle VMG1312-B10A/B/E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A sowie SBG3300-N000/NB00 und SBG3500-N000/NB00.
Häufig gestellte Fragen
Wird CVE-2024-40891 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-40891 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 39.30 % (97.2. Perzentil) unterstreicht die sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Zyxel-Geraete sind von CVE-2024-40891 betroffen?
Betroffen sind zahlreiche Legacy-DSL-CPE-Modelle von Zyxel, darunter VMG1312-B10A/B/E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300-N000/NB00 und SBG3500-N000/NB00. Alle diese Geraete befinden sich im End-of-Life-Status.
Gibt es einen Patch fuer CVE-2024-40891?
Nein, da die betroffenen Geraete End-of-Life sind, stellt Zyxel keine Firmware-Updates mehr bereit. Das offizielle Security Advisory empfiehlt den Austausch der Geraete durch aktuell unterstuetzte Modelle. Als Sofortmassnahme sollte Telnet deaktiviert und der Fernzugriff eingeschraenkt werden.
Was unterscheidet CVE-2024-40891 von CVE-2024-40890?
Beide Schwachstellen betreffen dieselben Zyxel-Legacy-Geraete und ermoeglichen Command Injection. CVE-2024-40891 nutzt die Telnet-Management-Schnittstelle als Angriffsvektor, waehrend CVE-2024-40890 ueber das CGI-Programm via HTTP POST ausgenutzt wird. Beide erfordern eine vorherige Authentifizierung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.