最近の脆弱性 › CVE-2024-40890

Zyxel DSL CPE Devices のOSコマンドインジェクションの脆弱性（CVE-2024-40890）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-40890
製品	Zyxel DSL CPE Devices
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-02-11
米国政府機関の対応期限	2025-03-04
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

Zyxel の古い DSL CPE（家庭や事務所に置くインターネット接続用の機器）の CGI プログラムに、OS の命令を紛れ込ませられる弱点が見つかりました。ログイン済みの攻撃者が細工した HTTP POST リクエストを送ると、機器の中で OS の命令を実行できる可能性があります。攻撃はネットワーク経由で行え、一般利用者程度の権限が必要です。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zyxel の VMG1312-B10A、VMG1312-B10B、VMG1312-B10E、VMG3312-B10A、VMG3313-B10A、VMG3926-B10B、VMG4325-B10A、VMG4380-B10A、VMG8324-B10A、VMG8924-B10A、SBG3300、SBG3500 を使っている人が対象です。Zyxel によると、これらは何年も前にサポートが終わっている製品です。

何をすればいい

Zyxel は、サポートが終わったこれらの機器を新しい世代の製品に置き換えるよう案内しています。インターネット事業者（ISP）から機器を受け取った場合は、その ISP に相談してください。あわせて、遠隔からのアクセスを無効にし、パスワードを定期的に変えることも、攻撃を防ぐ手段として挙げられています。詳しくは Zyxel の公式の案内を確認してください。

やることチェックリスト

対象の機器を新しい世代の製品に置き換える
遠隔からのアクセスを無効にする
機器のパスワードを定期的に変える

用語メモ

CGI プログラム: Web の画面から送られた内容を受け取って処理する、機器やサーバーの中のプログラムです。
HTTP POST リクエスト: Web の画面から、入力した内容などを機器やサーバーに送るときの通信の形です。
ISP: インターネット接続サービスを提供する会社のことです。

元データ（英語・CISA KEV より）

Zyxel DSL CPE OS Command Injection Vulnerability

概要

Multiple Zyxel DSL CPE devices contain a post-authentication command injection vulnerability in the CGI program that could allow an authenticated attacker to execute OS commands via a crafted HTTP request.

推奨対応

The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.