最近の脆弱性 › CVE-2024-40891

Zyxel DSL CPE Devices のOSコマンドインジェクションの脆弱性（CVE-2024-40891）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-40891
製品	Zyxel DSL CPE Devices
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-02-11
米国政府機関の対応期限	2025-03-04
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

Zyxel の古い DSL CPE（家庭や事務所に置くインターネット接続用の機器）の管理用コマンドに、OS の命令を紛れ込ませられる弱点が見つかりました。ログイン済みの攻撃者が Telnet（機器を遠隔操作する古い仕組み）を通じて、機器の中で OS の命令を実行できる可能性があります。攻撃はネットワーク経由で行え、一般利用者程度の権限が必要です。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zyxel の VMG1312-B10A、VMG1312-B10B、VMG1312-B10E、VMG3312-B10A、VMG3313-B10A、VMG3926-B10B、VMG4325-B10A、VMG4380-B10A、VMG8324-B10A、VMG8924-B10A、SBG3300、SBG3500 を使っている人が対象です。Zyxel によると、これらは何年も前にサポートが終わっている製品です。

何をすればいい

Zyxel は、サポートが終わったこれらの機器を新しい世代の製品に置き換えるよう案内しています。インターネット事業者（ISP）から機器を受け取った場合は、その ISP に相談してください。あわせて、遠隔からのアクセスを無効にし、パスワードを定期的に変えることも、攻撃を防ぐ手段として挙げられています。詳しくは Zyxel の公式の案内を確認してください。

やることチェックリスト

対象の機器を新しい世代の製品に置き換える
遠隔からのアクセスを無効にする
機器のパスワードを定期的に変える

用語メモ

Telnet: ネットワーク越しに機器を操作するための古い仕組みです。通信が暗号化されません。
ISP: インターネット接続サービスを提供する会社のことです。
OS の命令: 機器の土台となるソフトウェア（OS）に対して出す命令のことです。

元データ（英語・CISA KEV より）

Zyxel DSL CPE OS Command Injection Vulnerability

概要

Multiple Zyxel DSL CPE devices contain a post-authentication command injection vulnerability in the management commands that could allow an authenticated attacker to execute OS commands via Telnet.

推奨対応

The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.