Kritiskas ievainojamības Zyxel maršrutētājos un bezvadu piekļuves punktos
Ražotājs Zyxel ir identificējis vairākas kritiskas ievainojamības, kas ietekmē dažādus 4G/5G CPE, DSL/Ethernet CPE, Fiber ONT drošības maršrutētājus un bezvadu pastiprinātājus. Šie trūkumi ir reģistrēti sekojošos CVE identifikatoros:
CVE-2025-13942 - ievainojamība, kas skar Zyxel 4G LTE/5G NR CPE, DSL/Ethernet CPE, Fiber ONTs un bezvadu tīkla paplašinātājus, un dod iespēju uzbrucējam nosūtīt īpaši izveidotu pieprasījumu, kas ļauj izpildīt komandas uz maršrutētāja, iegūstot pilnīgu kontroli pār ierīci un tai piegulošo tīklu.
CVE‑2025‑13943 – ievainojamība žurnālu lejupielādes funkcijā, pieprasa administratora piekļuvi un ļauj izpildīt sistēmas komandas, kas parasti nav atļautas.
CVE‑2026‑1459 – ievainojamība TR‑369 sertifikātu lejupielādes CGI komponentē, pieprasa administratora piekļuvi un ļauj izpildīt sistēmas komandas, kas parasti nav atļautas.
CVE‑2025‑11845, CVE‑2025‑11846, CVE‑2025‑11847, CVE‑2025‑11848 – šīs ievainojamības neuzbrūk piekļuves kontrolei, bet var izraisīt ierīces darbības traucējumus (DoS), ļaujot uzbrucējam ar autentificētu administratora piekļuvi nosūtīt īpaši izstrādātus pieprasījumus un pārtraukt ierīces pakalpojumus
Ja izmantojat šīs novecojušās Zyxel iekārtas:
- VMG1312-B10A / B10B / B10E – DSL/4G CPE
- VMG3312-B10A / VMG3313-B10A – DSL/4G maršrutētāji
- VMG3926-B10B – DSL maršrutētāji
- VMG4325-B10A / VMG4380-B10A / VMG8324-B10A / VMG8924-B10A – Ethernet/DSL/Fiber CPE
- SBG3300 / SBG3500 – drošības maršrutētāji un bezvadu ierīces
iesakām nomainīt šīs ierīces vai neizmantot tās savienojumā ar internetu bez papildu drošības pasākumiem, jo ievainojamība CVE‑2024‑40891 var tikt izmantota ierīces kompromitēšanai. Šīm ierīcēm nav pieejami programmatūras atjauninājumi un tādi nav plānoti arī nākotnē.
Aicinām pārbaudīt sava maršrutētāja modelim pieejamo jaunāko ierīces programmatūru (firmware) Zyxel oficiālajā vietnē, pēc iespējas ātrāk atjaunināt to visām ietekmētajām ierīcēm, kā arī izslēgt WAN piekļuvi un UPnP, ja tās nav kritiski nepieciešamas.
Vairāk informācijas: https://www.bleepingcomputer.com/news/security/zyxel-warns-of-critical-rce-flaw-affecting-over-a-dozen-routers/
