Descripción
Varios dispositivos Zyxel DSL CPE contienen una vulnerabilidad de inyección de comandos posterior a la autenticación en los comandos de administración que podría permitir a un atacante autenticado ejecutar comandos del sistema operativo mediante Telnet.
Acción recomendada
El producto afectado podría estar en fin de vida útil (EoL) o fin de soporte. Si no hay una mitigación vigente disponible, discontinuar el uso del producto.
Referencias
- Aviso de zyxel.com zyxel.com/global/en/support/security-advisories/zyxel-security-adviso…
- Aviso de zyxel.com zyxel.com/service-provider/global/en/security-advisories/zyxel-securi…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2024-40891
Ver el texto original en inglés (CISA)
Zyxel DSL CPE OS Command Injection Vulnerability
Multiple Zyxel DSL CPE devices contain a post-authentication command injection vulnerability in the management commands that could allow an authenticated attacker to execute OS commands via Telnet.
Required action: The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.
Notes: https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-insecure-default-credentials-vulnerabilities-in-certain-legacy-dsl-cpe-02-04-2025 ; https://www.zyxel.com/service-provider/global/en/security-advisories/zyxel-security-advisory-command-injection-insecure-in-certain-legacy-dsl-cpe-02-04-2025 ; https://nvd.nist.gov/vuln/detail/CVE-2024-40891
Otras vulnerabilidades de Zyxel en el catálogo
- CVE-2026-7273 Vulnerabilidad de desbordamiento de búfer en la pila en Zyxel GS1900 Series Switches Alta 21-09-2026
- CVE-2024-40890 Vulnerabilidad de inyección de comandos del sistema operativo en Zyxel DSL CPE Alta 11-02-2025
- CVE-2024-11667 Zyxel Multiple Firewalls Path Traversal Vulnerability Alta 03-12-2024
- CVE-2017-6884 Zyxel EMG2926 Routers Command Injection Vulnerability Alta 18-09-2023
- CVE-2017-18368 Zyxel P660HN-T1A Routers Command Injection Vulnerability Alta 07-08-2023