[TLP:CLEAR] Zyxel ZLD opravuje 2 zraniteľnosti
Zyxel verziou 5.41 opravuje 2 zraniteľnosti v produkte Zyxel ZLD (firewall firmvér). Konkrétne postihnuté rady firewallov sú ATP, USG FLEX, USG FLEX 50(W) a USG20(W)-VPN [1].
Autentizovanému vzdialenému útočníkovi s právami administrátora je umožnené vykonávať príkazy v operačnom systéme postihnutého zariadenia [1].
Zraniteľnosť sa nachádza v produktoch:
- Zyxel ATP; >=4.32, <5.41;
- Zyxel USG FLEX; >=4.50, <5.41;
- Zyxel USG FLEX 50(W); >=4.16, <5.41;
- Zyxel USG20(W)-VPN; >=4.16, <5.41;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-8078 na cve.org, NVD
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 10. 2025.
Vzdialenému útočníkovi autentizovanému iba jedným faktorom vrámci dvojfaktorovej autentizácie je umožnené získať konfiguráciu postihnutého zariadenia [1].
Zraniteľnosť sa nachádza v produktoch:
- Zyxel ATP; >=4.32, <5.41;
- Zyxel USG FLEX; >=4.50, <5.41;
- Zyxel USG FLEX 50(W); >=4.16, <5.41;
- Zyxel USG20(W)-VPN; >=4.16, <5.41;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2025-9133 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 10. 2025.
Za CESNET, z.s.p.o. Martin Krajči dňa 21. 10. 2025.