**UNSUPPORTED WHEN ASSIGNED**
Insecure default credentials for the Telnet function in the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an attacker to log in to the management interface if the administrators have the option to change the default credentials but fail to do so.
1. Mô tả CVE : CVE-2025-0890
– KHÔNG HỖ TRỢ KHI ĐƯỢC GÁN
Mật khẩu mặc định không an toàn cho chức năng Telnet trong firmware phiên bản 1.00(AAFR.4)C0_20170615 của thiết bị DSL CPE Zyxel VMG4325-B10A có thể cho phép kẻ tấn công đăng nhập vào giao diện quản lý nếu các quản trị viên có tùy chọn thay đổi mật khẩu mặc định nhưng không thực hiện điều đó.
– Vendor – Product – Version bị ảnh hưởng: Zyxel – VMG4325-B10A – Firmware version 1.00(AAFR.4)C0_20170615
2. Phân tích kỹ thuật tấn công:
– Dựa trên CVE và MITRE ATT&CK, một số kỹ thuật tấn công có thể khai thác lỗ hổng này bao gồm:
– T1592.003 – Firmware : Kẻ tấn công có thể nhắm đến firmware của thiết bị để tìm kiếm các lỗ hổng hoặc thông tin nhạy cảm.
– T1589.001 – Credentials : Sử dụng thông tin về mật khẩu mặc định để truy cập trái phép vào hệ thống.
– T1053.002 – At… : Kẻ tấn công có thể lập lịch các tác vụ để tự động hóa việc khai thác lỗ hổng.
3. Tác động tiềm tàng:
– Nếu CVE bị khai thác thành công, các tác động có thể bao gồm:
– Đánh cắp dữ liệu nhạy cảm từ thiết bị hoặc mạng.
– Leo thang đặc quyền, cho phép kẻ tấn công có quyền kiểm soát cao hơn đối với hệ thống.
– Tê liệt hệ thống, gây gián đoạn dịch vụ cho người dùng hợp pháp.
– Thiệt hại về danh tiếng và tài chính cho tổ chức nếu dữ liệu bị rò rỉ hoặc tấn công.
4. Các biện pháp giảm thiểu:
– Các bước giảm thiểu cụ thể bao gồm:
• Cập nhật phần mềm, hoặc vá lỗ hổng nếu có.
• Tăng cường cấu hình bảo mật khi cần thiết (ví dụ: kích hoạt xác thực đa yếu tố, hạn chế quyền truy cập).
• Sử dụng các công cụ hoặc phần mềm bảo mật cụ thể để phát hiện và ngăn chặn (ví dụ: phần mềm diệt virus, hệ thống phát hiện xâm nhập).
• Triển khai các phương pháp giám sát và báo cáo để phát hiện hoạt động bất thường (ví dụ: kích hoạt ghi nhật ký, thiết lập cảnh báo).