CVE-2024-40891

Falha de injeção de comando pós-autenticação nos comandos de gerenciamento acessíveis via Telnet em roteadores DSL legados da Zyxel, incluindo o VMG4325-B10A citado na descrição oficial. O CVSS de 8.8 reflete o impacto total (execução de comando OS) mas ignora que WAN e Telnet vêm desabilitados por padrão nesses aparelhos — a exploração só é viável se o atacante já obteve credenciais válidas, geralmente por senha padrão não alterada ou vazamento de credencial de gerenciamento.

A vulnerabilidade é uma injeção de comando OS (CWE-78) presente na interface de comandos de gerenciamento exposta via Telnet nos dispositivos DSL CPE legados da Zyxel. Segundo o advisory do fornecedor, o problema atinge uma lista de modelos EOL — VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 e SBG3500 — e não apenas o VMG4325-B10A mencionado na descrição original da CVE.

O mecanismo exato de sanitização insuficiente não foi detalhado publicamente pelo fornecedor nem por VulnCheck em texto acessível nas fontes consultadas; sabe-se apenas que, uma vez autenticado na sessão Telnet de gerenciamento, um atacante consegue injetar comandos que são executados pelo sistema operacional subjacente do dispositivo, com o mesmo nível de privilégio do processo de gerenciamento (tipicamente root/admin em firmware embarcado desse tipo de CPE).

O fator crítico de pré-condição é que o Telnet e o acesso via WAN vêm desabilitados por padrão de fábrica. Isso significa que a superfície de ataque remota só existe se o proprietário ou o ISP habilitou Telnet e/ou acesso remoto manualmente — configuração fora do padrão. Sem essa habilitação, a falha exige acesso à rede local do CPE.

A vulnerabilidade está marcada como 'UNSUPPORTED WHEN ASSIGNED': os produtos afetados atingiram fim de vida (EOL) há anos, e a Zyxel não vai desenvolver correção. Isso muda o cálculo de risco — não existe patch a aplicar, apenas descarte ou isolamento do equipamento.

O vetor de exploração exige três coisas simultâneas: (1) Telnet habilitado no dispositivo — não é o padrão de fábrica; (2) acesso de rede à porta Telnet, seja porque o WAN foi exposto (também não padrão) ou porque o atacante já está na LAN; (3) credenciais válidas de autenticação, que a Zyxel afirma só podem ter sido comprometidas por falha do próprio usuário/administrador (senha padrão não alterada, ou reuso/vazamento de senha). Dado o CVE-2025-0890, divulgado no mesmo advisory, que trata de credenciais padrão inseguras para o Telnet nesses mesmos modelos, a cadeia mais provável de exploração real combina os dois: usar a credencial padrão ainda ativa para autenticar via Telnet e então injetar o comando OS.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 11/02/2025), mas não classifica seu uso em campanhas de ransomware conhecidas ('Unknown'). GreyNoise publicou observações de exploração em blog (28/01/2025) e VulnCheck divulgou detalhes técnicos originalmente em 31/07/2024 sem coordenação prévia com a Zyxel — a divulgação pública antecedeu por meses o reconhecimento oficial do fornecedor, ampliando a janela de exposição.

O resultado final de uma exploração bem-sucedida é execução arbitrária de comandos OS no CPE, o que normalmente se traduz em controle total do dispositivo: pivotagem para a rede interna do usuário, interceptação de tráfego, ou incorporação do aparelho a uma botnet — padrão comum em ataques a CPEs DSL EOL expostos à internet.

Não existe correção de firmware. A Zyxel declarou os modelos afetados como legados e fora de suporte (EOL), e a recomendação oficial é substituir o equipamento por hardware de geração atual — não há patch a aplicar nem previsão de que um venha a existir.

As fontes consultadas não descrevem assinaturas de rede, IOCs ou padrões de log específicos para detectar tentativas de exploração desta CVE. Como pré-requisito é sessão Telnet autenticada, o sinal mais direto disponível ao defensor é monitorar logs de autenticação Telnet no dispositivo (se o firmware registrar) e tráfego de rede na porta Telnet vindo de origens inesperadas, já que essa porta deveria estar desabilitada por padrão — qualquer tráfego Telnet ativo em direção a esses modelos já é, por si só, um indicador de configuração de risco.