• ひとことでZyxel の古い DSL ルーターで、細工した通信で命令を実行される弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやること対象の機器を新しい世代の製品に置き換える

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-40890
製品Zyxel DSL CPE Devices
深刻度（CVSS）8.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-02-11
米国政府機関の対応期限2025-03-04
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

Zyxel の古い DSL CPE（家庭や事務所に置くインターネット接続用の機器）の CGI プログラムに、OS の命令を紛れ込ませられる弱点が見つかりました。ログイン済みの攻撃者が細工した HTTP POST リクエストを送ると、機器の中で OS の命令を実行できる可能性があります。攻撃はネットワーク経由で行え、一般利用者程度の権限が必要です。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がパスワードを手に入れてログインする → 2. 細工した HTTP POST リクエストを送る → 3. CGI プログラムが命令を処理してしまう → 4. 機器の中で OS の命令が実行される1攻撃者がパスワードを手に入れてログインする2細工した HTTP POST リクエストを送る3CGI プログラムが命令を処理してしまう4機器の中で OS の命令が実行される攻撃の流れ: 1. 攻撃者がパスワードを手に入れてログインする → 2. 細工した HTTP POST リクエストを送る → 3. CGI プログラムが命令を処理してしまう → 4. 機器の中で OS の命令が実行される1攻撃者がパスワードを手に入れてログインする2細工した HTTP POST リクエストを送る3CGI プログラムが命令を処理してしまう4機器の中で OS の命令が実行される攻撃の流れ: 1. 攻撃者がパスワードを手に入れてログインする → 2. 細工した HTTP POST リクエストを送る → 3. CGI プログラムが命令を処理してしまう → 4. 機器の中で OS の命令が実行される1攻撃者がパスワードを手に入れてログインする2細工した HTTP POST リクエストを送る3CGI プログラムが命令を処理してしまう4機器の中で OS の命令が実行される

誰が影響を受ける

Zyxel の VMG1312-B10A、VMG1312-B10B、VMG1312-B10E、VMG3312-B10A、VMG3313-B10A、VMG3926-B10B、VMG4325-B10A、VMG4380-B10A、VMG8324-B10A、VMG8924-B10A、SBG3300、SBG3500 を使っている人が対象です。Zyxel によると、これらは何年も前にサポートが終わっている製品です。

何をすればいい

Zyxel は、サポートが終わったこれらの機器を新しい世代の製品に置き換えるよう案内しています。インターネット事業者（ISP）から機器を受け取った場合は、その ISP に相談してください。あわせて、遠隔からのアクセスを無効にし、パスワードを定期的に変えることも、攻撃を防ぐ手段として挙げられています。詳しくは Zyxel の公式の案内を確認してください。

やることチェックリスト

  • 対象の機器を新しい世代の製品に置き換える
  • 遠隔からのアクセスを無効にする
  • 機器のパスワードを定期的に変える

用語メモ

CGI プログラム
Web の画面から送られた内容を受け取って処理する、機器やサーバーの中のプログラムです。
HTTP POST リクエスト
Web の画面から、入力した内容などを機器やサーバーに送るときの通信の形です。
ISP
インターネット接続サービスを提供する会社のことです。

次に読む

同じ製品・メーカーの脆弱性Zyxel DSL CPE Devices（CVE-2024-40891）8.8 重要CVSS v3.1Zyxel の古い DSL ルーターで、Telnet 経由で命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Zyxel DSL CPE OS Command Injection Vulnerability

概要

Multiple Zyxel DSL CPE devices contain a post-authentication command injection vulnerability in the CGI program that could allow an authenticated attacker to execute OS commands via a crafted HTTP request.

推奨対応

The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

この元データの出どころ: CISA KEV カタログで見る