CVE-2024-40890

Injeção de comandos OS pós-autenticação no programa CGI de roteadores DSL legados da Zyxel, explorável via requisição HTTP POST manipulada. O CVSS de 8.8 reflete o impacto total (execução de comando como root na maioria desses dispositivos embarcados), mas a exploração exige credenciais válidas e, por padrão, acesso WAN desabilitado — a CVE está na KEV da CISA por exploração ativa confirmada, não porque seja trivialmente explorável por qualquer atacante remoto anônimo.

A falha (CWE-78, injeção de comando OS) está no CGI que processa requisições administrativas HTTP no firmware da linha VMG/SBG. Um campo de parâmetro passado ao CGI é concatenado sem sanitização a um comando de shell executado pelo sistema operacional embarcado (geralmente um Linux/BusyBox minimalista rodando como root). O atacante controla o conteúdo desse campo e injeta metacaracteres de shell para encadear comandos arbitrários.

O vetor exige POST HTTP para o endpoint CGI vulnerável na interface de administração web do dispositivo — não há detalhe público sobre qual parâmetro específico ou endpoint exato, já que nem o fornecedor nem a CISA divulgaram o código de exploração ou o payload usado. A Zyxel confirma que a mesma classe de falha (mesmo CGI, mesma lógica de injeção) afeta uma família inteira de modelos legados, não só o VMG4325-B10A citado na descrição original da CVE.

Pré-condição crítica de arquitetura: PR:L no vetor CVSS significa autenticação prévia obrigatória — o atacante precisa de uma sessão/credencial válida na interface de gestão antes de disparar a injeção. Isso reduz drasticamente a superfície real de exploração em relação ao que a nota 'AC:L/UI:N' sugere isoladamente.

Exploração prática requer duas coisas simultâneas segundo o próprio advisory: (1) acesso à interface administrativa do dispositivo — via LAN ou, se o proprietário reconfigurou o padrão, via WAN — e (2) credenciais de administrador válidas. A Zyxel afirma explicitamente que acesso WAN vem desabilitado de fábrica nesses modelos, então o ataque só funciona se o operador do dispositivo (ISP ou usuário final) habilitou acesso remoto e a senha configurada foi comprometida (reuso de senha padrão, credential stuffing, phishing, ou vazamento).

Com sessão autenticada, o atacante envia um POST HTTP para o CGI vulnerável contendo o payload de injeção; o resultado é execução de comando OS com os privilégios do processo CGI, tipicamente root em CPE embarcado, o que dá controle total do dispositivo — modificação de DNS, pivô para a LAN interna, inclusão em botnet.

A exploração ativa foi documentada pela GreyNoise em blog público (janeiro de 2025) e pela VulnCheck, que publicou a CVE originalmente em julho de 2024 sem aviso prévio à Zyxel. A CISA colocou a CVE no catálogo KEV em 11/02/2025 com prazo de mitigação até 04/03/2025, confirmando exploração observada em produção — mas o mecanismo de descoberta de credenciais (força bruta contra Telnet/HTTP, ou aproveitamento de CVE-2025-0890, credenciais Telnet padrão) é o elo mais provável entre 'sem acesso' e 'autenticado'.

Não existe correção de firmware. A Zyxel classificou a CVE como 'UNSUPPORTED WHEN ASSIGNED' e trata os modelos afetados — incluindo VMG4325-B10A — como end-of-life há anos; a orientação oficial do fornecedor é substituir o equipamento por um produto de geração atual. A recomendação da CISA no KEV segue a mesma linha: se não há mitigação disponível, descontinuar o uso do produto.

Como paliativo real enquanto a substituição não ocorre: manter acesso WAN desabilitado (configuração padrão de fábrica — verificar que não foi alterada), desabilitar Telnet, e trocar a senha administrativa padrão por uma senha forte e única, já que a exploração depende de credencial comprometida. Isso reduz a superfície mas não elimina a falha — qualquer credencial válida vazada ou fraca ainda permite exploração total.

O que não funciona: confiar apenas em firewall perimetral genérico ou WAF não ajuda, pois o ataque tipicamente ocorre com acesso à interface de gestão já dentro da rede (LAN) ou via WAN intencionalmente aberto — não há como 'patchear' o CGI sem firmware novo, que o fornecedor não vai emitir para este produto.

Não há assinatura pública de detecção divulgada pelo fornecedor ou pela CISA. A GreyNoise reportou observação de exploração ativa contra esta CVE e a CVE-2024-40891 relacionada, o que indica tentativas de varredura/exploração em massa contra a interface HTTP administrativa desses CPEs expostos — mas os indicadores técnicos (padrões de payload, user-agent, IPs) não estão detalhados nas fontes disponíveis. Na ausência de IOC público confiável, o sinal mais prático é monitorar tentativas de login administrativo malsucedidas seguidas de POST para endpoints CGI de gestão, e qualquer execução de processo shell inesperado originado do processo httpd/CGI do dispositivo, se houver telemetria de host disponível nesses equipamentos embarcados (raramente há).