Zyxelのルータに緊急脆弱性、使用中止または交換を

VulnCheckは2月3日(米国時間)、「Zyxel Telnet Vulnerabilities - Blog - VulnCheck」において、Zyxelの顧客構内設備(CPE: Customer Premises Equipment)向けルータから複数の脆弱性を発見したと報じた。

これら脆弱性を悪用されると、認証されていないリモートの攻撃者にOSコマンドを実行される可能性がある。

• 

  Zyxel Telnet Vulnerabilities - Blog - VulnCheck

脆弱性の情報

脆弱性に関する情報は次のページにまとまっている。

• Zyxel security advisory for command injection and insecure default credentials vulnerabilities in certain legacy DSL CPE | Zyxel Networks

脆弱性の情報(CVE)は次のとおり。

• CVE-2024-40891 - 管理コマンドにコマンドインジェクションの脆弱性。認証された攻撃者はTelnet経由でOSコマンドを実行できる可能性がある(CVSSスコア: 8.8)
• CVE-2025-0890 - ハードコードされた認証情報の脆弱性。管理者がデフォルト設定を変更しない場合、攻撃者は管理インタフェースにログインできる可能性がある(CVSSスコア: 9.8)

脆弱性が存在する製品

脆弱性が存在する製品は次のとおり。

• VMG1312-B10A
• VMG1312-B10B
• VMG1312-B10E
• VMG3312-B10A
• VMG3313-B10A
• VMG3926-B10B
• VMG4325-B10A
• VMG4380-B10A
• VMG8324-B10A
• VMG8924-B10A
• SBG3300
• SBG3500

対策

これら脆弱性の中で最も深刻度の高いものは緊急(Critical)と評価されており注意が必要。脆弱性はすでに悪用が確認されており速やかに対策する必要がある。

Zyxelは該当製品すべてがサポート終了(EOL: End-of-Life)に達しているとして、製品の交換を強く推奨している。また、インターネットサービスプロバイダー(ISP: Internet Service Provider)から製品の提供(リース)を受けている場合は、ISPに問い合わせることが推奨されている。