Dauerhaft ausgenutzt KEV-Katalog

CVE-2024-40890

Zyxel DSL CPE OS Command Injection Vulnerability

**UNSUPPORTED WHEN ASSIGNED** A post-authentication command injection vulnerability in the CGI program of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute…

CheckOps-Prioritätsindex

5,9/10 Binnen 7 Tagen patchen

Schweregrad8,8

Wahrscheinlichkeit2,1

Ausnutzung3/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 20,7 % höher als 97,5 % aller CVE

CVSS 3.1 8,8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:

Ausgenutzt seit 630 Tagen 11.02.2025

CISA-Frist 04.03.2025 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 3 / 5

KEV-Katalog (CISA)11.02.2025
In der EUVD ausgenutzt (ENISA)11.02.2025
Von Ransomware genutztnein
EPSS über 10 %20,7 %
Ohne Konto, über das Netznein

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

Text der Quelle, auf Englisch.

Betroffene Produkte

VMG4325-B10A firmwareDSL CPE Devices

Betroffene Versionen

≤ 1.00(AAFR.4)C0_20170615

Schwächen (CWE)

CWE-78

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

04.02.2025
Veröffentlichung
11.02.2025
Ausnutzung gemeldet (ENISA)
11.02.2025
Aufnahme in den KEV-Katalog
04.03.2025
CISA-Frist zur Behebung
25.09.2026
EPSS-Höchstwert: 20,7 %

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2026-7273Zyxel GS1900 Series Switches Stack-Based Buffer Overflow Vulnerability
4,8 · Aktiv ausgenutzt
CVE-2024-40891Zyxel DSL CPE OS Command Injection Vulnerability
6,0 · Dauerhaft ausgenutzt
CVE-2024-11667Zyxel Multiple Firewalls Path Traversal Vulnerability
5,5 · Dauerhaft ausgenutzt
CVE-2017-6884Zyxel EMG2926 Routers Command Injection Vulnerability
6,9 · Dauerhaft ausgenutzt
CVE-2017-18368Zyxel P660HN-T1A Routers Command Injection Vulnerability
9,2 · Dauerhaft ausgenutzt
CVE-2023-27992Zyxel Multiple NAS Devices Command Injection Vulnerability
8,8 · Dauerhaft ausgenutzt