- ひとことでZyxel の古い DSL ルーターで、Telnet 経由で命令を実行される弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやること対象の機器を新しい世代の製品に置き換える
基本情報（データから表示）
| CVE番号 | CVE-2024-40891 |
|---|---|
| 製品 | Zyxel DSL CPE Devices |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-02-11 |
| 米国政府機関の対応期限 | 2025-03-04 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78（OSコマンドインジェクション） |
何が起きた
Zyxel の古い DSL CPE（家庭や事務所に置くインターネット接続用の機器）の管理用コマンドに、OS の命令を紛れ込ませられる弱点が見つかりました。ログイン済みの攻撃者が Telnet（機器を遠隔操作する古い仕組み）を通じて、機器の中で OS の命令を実行できる可能性があります。攻撃はネットワーク経由で行え、一般利用者程度の権限が必要です。この弱点は、実際に悪用されたことが確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Zyxel の VMG1312-B10A、VMG1312-B10B、VMG1312-B10E、VMG3312-B10A、VMG3313-B10A、VMG3926-B10B、VMG4325-B10A、VMG4380-B10A、VMG8324-B10A、VMG8924-B10A、SBG3300、SBG3500 を使っている人が対象です。Zyxel によると、これらは何年も前にサポートが終わっている製品です。
何をすればいい
Zyxel は、サポートが終わったこれらの機器を新しい世代の製品に置き換えるよう案内しています。インターネット事業者（ISP）から機器を受け取った場合は、その ISP に相談してください。あわせて、遠隔からのアクセスを無効にし、パスワードを定期的に変えることも、攻撃を防ぐ手段として挙げられています。詳しくは Zyxel の公式の案内を確認してください。
やることチェックリスト
- 対象の機器を新しい世代の製品に置き換える
- 遠隔からのアクセスを無効にする
- 機器のパスワードを定期的に変える
用語メモ
- Telnet 用語集で見る
- ネットワーク越しに機器を操作するための古い仕組みです。通信が暗号化されません。
- ISP
- インターネット接続サービスを提供する会社のことです。
- OS の命令
- 機器の土台となるソフトウェア（OS）に対して出す命令のことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Zyxel DSL CPE OS Command Injection Vulnerability
概要
Multiple Zyxel DSL CPE devices contain a post-authentication command injection vulnerability in the management commands that could allow an authenticated attacker to execute OS commands via Telnet.
推奨対応
The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.
この元データの出どころ: CISA KEV カタログで見る