Exploitation de fond Catalogue KEV

CVE-2024-40890

Zyxel DSL CPE OS Command Injection Vulnerability

**UNSUPPORTED WHEN ASSIGNED** A post-authentication command injection vulnerability in the CGI program of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute…

Indice de priorité CheckOps

5,9/10 Corriger sous 7 jours

Gravité8,8

Probabilité2,1

Exploitation3/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 20,7 % plus haute que 97,5 % des CVE

CVSS 3.1 8,8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:

Exploitée depuis 630 jours 11/02/2025

Échéance CISA 04/03/2025 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 3 / 5

Catalogue KEV (CISA)11/02/2025
EUVD exploitée (ENISA)11/02/2025
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %20,7 %
Sans compte, par le réseaunon

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

Texte de la source, en anglais.

Produits touchés

VMG4325-B10A firmwareDSL CPE Devices

Versions touchées

≤ 1.00(AAFR.4)C0_20170615

Faiblesses (CWE)

CWE-78

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

04/02/2025
Publication
11/02/2025
Exploitation signalée (ENISA)
11/02/2025
Ajout au catalogue KEV
04/03/2025
Échéance de correction CISA
25/09/2026
EPSS au plus haut : 20,7 %

Références

Autres failles exploitées du même éditeur

CVE-2026-7273Zyxel GS1900 Series Switches Stack-Based Buffer Overflow Vulnerability
4,8 · Exploitation active
CVE-2024-40891Zyxel DSL CPE OS Command Injection Vulnerability
6,0 · Exploitation de fond
CVE-2024-11667Zyxel Multiple Firewalls Path Traversal Vulnerability
5,5 · Exploitation de fond
CVE-2017-6884Zyxel EMG2926 Routers Command Injection Vulnerability
6,9 · Exploitation de fond
CVE-2017-18368Zyxel P660HN-T1A Routers Command Injection Vulnerability
9,2 · Exploitation de fond
CVE-2023-27992Zyxel Multiple NAS Devices Command Injection Vulnerability
8,8 · Exploitation de fond