CVE-2025-0890

Firmware urządzeń Zyxel VMG4325-B10A (wersja 1.00(AAFR.4)C0_20170615) oraz powiązanych modeli zawiera fabrycznie ustawione dane logowania do usługi Telnet. Administratorzy mają techniczną możliwość zmiany tych poświadczeń, jednak jeśli tego nie zrobią, atakujący może zalogować się do interfejsu zarządzania przy użyciu publicznie znanych domyślnych danych uwierzytelniających. Podatność klasyfikowana jest jako CWE-287 (nieprawidłowe uwierzytelnianie) oraz CWE-522 (niewystarczająco chronione poświadczenia).

Atakujący uzyskuje pełny dostęp do interfejsu zarządzania urządzeniem przez Telnet, co może prowadzić do przejęcia kontroli nad urządzeniem, modyfikacji jego konfiguracji, naruszenia poufności i integralności przesyłanych danych oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.

Producent oznaczył te urządzenia jako niezależnie wspierane (UNSUPPORTED WHEN ASSIGNED) — oficjalne patche mogą nie być dostępne. Należy niezwłocznie zmienić domyślne dane uwierzytelniające dla funkcji Telnet, a najlepiej całkowicie wyłączyć usługę Telnet i zastąpić ją bezpieczniejszym protokołem (np. SSH). Zaleca się rozważenie wymiany urządzeń na wspierane modele. Szczegółowe zalecenia producenta dostępne są w oficjalnym security advisory Zyxel z dnia 2025-02-04.

Zyxel VMG4325-B10A firmware 1.00(AAFR.4)C0_20170615, Zyxel SBG3500-N000 oraz Zyxel VMG1312-B10A — urządzenia oznaczone jako legacy (niezależnie wspierane w momencie przypisania CVE), szczegółowe wersje firmware wskazane w referencjach producenta

Urządzenia objęte podatnością są oficjalnie oznaczone przez producenta jako legacy i niezależnie wspierane (UNSUPPORTED WHEN ASSIGNED) w momencie przypisania CVE — aktualizacje firmware mogą nie zostać wydane.