合勤證實研究人員揭露的漏洞存在於12款DSL CPE設備，呼籲用戶應儘速汰換因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者GreyNoise一月下旬<a href="https://www.ithome.com.tw/news/167183">發現Mirai殭屍網路變種攻擊的行動</a>，攻擊者利用去年7月底資安業者VulnCheck發現的漏洞CVE-2024-40891，該漏洞存在於存在於合勤科技（Zyxel Communications）CPE通訊設備，由於當時漏洞尚未修補，也沒有公開細節，引起資安界的關注。當時我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問，該公司初步表示此批受影響的設備生命週期已經結束（EOL）多年，但並未說明有那些設備存在相關漏洞，事隔兩天，我們發現有國外資安新聞媒體<a href="https://www.bleepingcomputer.com/news/security/zyxel-wont-patch-newly-exploited-flaws-in-end-of-life-routers/">引述VulnCheck及合勤科技的公告</a>，進行追蹤報導。</p> <p>在VulnCheck<a href="http://vulncheck.com/blog/zyxel-telnet-vulns">公布的細節</a>與<a href="https://www.zyxel.com/service-provider/apac/en/security-advisories/zyxel-security-advisory-command-injection-insecure-in-certain-legacy-dsl-cpe-02-04-2025">合勤</a>、<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-insecure-default-credentials-vulnerabilities-in-certain-legacy-dsl-cpe-02-04-2025">兆勤</a>的資安公告裡，終於明確揭露有那些設備存在漏洞，當中列出的項目不只是去年找到的CVE-2024-40890、CVE-2024-40891，還包括一項重大層級的預設帳密弱點CVE-2025-0890。整體而言，這些受到影響的設備型號如下：</p> <ul> <li>VMG1312-B10A</li> <li>VMG1312-B10B</li> <li>VMG1312-B10E</li> <li>VMG3312-B10A</li> <li>VMG3313-B10A</li> <li>VMG3926-B10B</li> <li>VMG4325-B10A</li> <li>VMG4380-B10A</li> <li>VMG8324-B10A</li> <li>VMG8924-B10A</li> <li>SBG3300</li> <li>SBG3500</li> </ul> <h3><strong>VulnCheck持續追蹤並於2月3日發布新消息</strong></h3> <p>這起事故引發的資安漏洞資訊，現在之所以有更多揭露，源自2月3日VulnCheck技術長Jacob Baines新公布的漏洞細節，當中提到VulnCheck至少確認有12款合勤CPE路由器存在漏洞，且產品狀態皆為生命週期已經結束（EOL），但他們仍能從物聯網搜尋引擎FOFA及Censys找到約1,500臺曝險設備，外界能透過Telnet介面存取它們。</p> <p>不僅如此，Jacob Baines發現仍有部分型號的路由器，可從Amazon網路商站買到，因此，曝險的範圍很有可能還會擴大。</p> <p>針對已被用於攻擊行動的CVE-2024-40891，VulnCheck也公布細節及概念驗證程式碼（PoC），並公布另一個預設帳密漏洞CVE-2025-0890。</p> <h3><strong>Zyxel於2月4日發布完整的資安公告</strong></h3> <p>此項消息揭露的隔日（2月4日），合勤與兆勤也發布資安公告證實這些弱點，並指出他們已確認這些設備都存在VulnCheck找到的CVE-2024-40890、CVE-2024-40891，以及CVE-2025-0890，並指出這些設備已不再受到支援，呼籲用戶應汰換設備來因應。</p> <p>而對於這些漏洞的影響，他們指出<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40890">CVE-2024-40890</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40891">CVE-2024-40891</a>皆為後身分驗證命令注入漏洞，通過身分驗證的攻擊者可觸發漏洞執行任意作業系統層級命令，CVSS風險評為8.8。但兩個漏洞觸發的管道有所不同，CVE-2024-40890是透過HTTP請求，CVE-2024-40891則是經由Telnet來進行。</p> <p>至於第三個漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-0890">CVE-2025-0890</a>，則是CPE設備Telnet功能當中不安全的預設密碼，若是管理員未曾修改，攻擊者就有機會登入管理介面，CVSS風險評分為9.8。</p> </div></div></div>
