Wichtiger Hinweis: |
Sicherheitshinweis von Zyxel zu Schwachstellen durch Befehlsinjektion und unsichere Standardanmeldeinformationen in bestimmten älteren DSL-CPEs
CVEs: CVE-2024-40890, CVE-2024-40891, CVE-2025-0890
Zusammenfassung
Zyxel hat vor kurzem CVE-2024-40890 und CVE-2024-40891 in einem Beitrag im Blog von GreyNoise erwähnt. Darüber hinaus informierte uns VulnCheck, dass sie die technischen Details zu CVE-2024-40981 und CVE-2025-0890 in ihrem Blog veröffentlichen werden. Wir haben bestätigt, dass es sich bei den betroffenen Modellen, die von VulnCheck gemeldet wurden, um ältere Produkte handelt, die schon seit Jahren das Ende ihrer Lebensdauer erreicht haben (EOL). Daher empfehlen wir den Benutzern dringend, sie durch Produkte der neueren Generation zu ersetzen, um optimalen Schutz zu gewährleisten.
Um welche Sicherheitslücken handelt es sich?
CVE-2024-40890
**BEI ZUWEISUNG NICHT UNTERSTÜTZT**
Eine Sicherheitslücke durch Befehlsinjektion nach der Authentifizierung im CGI-Programm bestimmter älterer DSL-CPE-Modelle, einschließlich VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 und SBG3500, könnte es einem authentifizierten Angreifer ermöglichen, Betriebssystembefehle auf einem betroffenen Gerät auszuführen, indem er eine manipulierte HTTP-POST-Anfrage sendet. Es ist wichtig zu beachten, dass der WAN-Zugriff auf diesen Geräten standardmäßig deaktiviert ist und dieser Angriff nur dann erfolgreich sein kann, wenn die vom Benutzer konfigurierten Kennwörter erlangt wurden.
CVE-2024-40891
**BEI ZUWEISUNG NICHT UNTERSTÜTZT**
Eine Schwachstelle bei der Befehlsinjektion nach der Authentifizierung in den Verwaltungsbefehlen von , einschließlich VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 und SBG3500. Diese Schwachstelle könnte es einem authentifizierten Angreifer ermöglichen, Betriebssystembefehle auf einem betroffenen Gerät über Telnet auszuführen. Es ist wichtig zu beachten, dass der WAN-Zugang und die Telnet-Funktion auf diesen Geräten standardmäßig deaktiviert sind und dieser Angriff nur dann erfolgreich sein kann, wenn die vom Benutzer konfigurierten Passwörter erlangt wurden.
CVE-2025-0890
**BEI ZUWEISUNG NICHT UNTERSTÜTZT**
Unsichere Standard-Anmeldeinformationen für die Telnet-Funktion in bestimmten älteren DSL-CPE-Modellen, einschließlich VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 und SBG3500, könnte es einem Angreifer ermöglichen, sich bei der Verwaltungsschnittstelle anzumelden, wenn die Administratoren die Möglichkeit haben, die Standard-Anmeldedaten zu ändern, dies aber nicht tun. Es ist wichtig zu beachten, dass der WAN-Zugang und die Telnet-Funktion bei diesen Geräten standardmäßig deaktiviert sind.
Was sollten Sie tun?
Bei den folgenden Modellen - VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 und SBG3500 - handelt es sich um Legacy-Produkte, die seit mehreren Jahren den EOL-Status erreicht haben. In Übereinstimmung mit den branchenüblichen Praktiken für das Management des Produktlebenszyklus rät Zyxel seinen Kunden, diese älteren Produkte durch Geräte der neueren Generation zu ersetzen, um einen optimalen Schutz zu gewährleisten. Wenn Sie Ihr Zyxel-Produkt über einen Internet-Service-Provider (ISP) erworben haben, wenden Sie sich bitte an den ISP, um Unterstützung zu erhalten. Bei ISPs wenden Sie sich bitte an Ihren Zyxel-Vertriebs- oder Servicevertreter, um weitere Einzelheiten zu erfahren.
Darüber hinaus sind die Deaktivierung des Fernzugriffs und die regelmäßige Änderung von Passwörtern proaktive Maßnahmen, die dazu beitragen können, potenzielle Angriffe zu verhindern.
Haben Sie eine Frage?
Wenn Sie ein ISP sind, wenden Sie sich bitte an Ihren Zyxel Vertriebs- oder Servicevertreter, um weitere Informationen oder Unterstützung zu erhalten. Kunden, die ihr Zyxel-Gerät von einem ISP erworben haben, wenden sich bitte direkt an das Support-Team des ISP.
Koordinierter Zeitplan:
- 2024-07-13: VulnCheck hat Zyxel über Sicherheitslücken im EOL CPE VMG4325-B10A informiert, ohne jedoch Berichte zu liefern.
- 2024-07-14: Zyxel forderte VulnCheck auf, einen detaillierten Bericht zu erstellen; VulnCheck antwortete jedoch nicht.
- 2024-07-31: VulnCheck veröffentlicht CVE-2024-40890 und CVE-2024-40891 in seinem Blog, ohne Zyxel zu informieren.
- 2025-01-28: GreyNoise veröffentlichte CVE-2024-40890 und CVE-2024-40891 in seinem Blog.
- 2025-01-29: Zyxel erhält den Bericht von VulnCheck zu CVE-2024-40890, CVE-2024-40891 und CVE-2025-0890.
- 2025-01-29: Zyxel wurde auf die Sicherheitslücken in bestimmten älteren DSL-CPE-Modellen aufmerksam.
Revisionshistorie
2025-2-4: Erste Veröffentlichung.