CVE-2025-9133

WysokieCVSS 8.1

Opublikowano: 21/10/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

5.46%

Percentyl 93 - wyżej niż 93% wszystkich znanych CVE

Streszczenie

Luka w autoryzacji w firmware Zyxel ATP (V4.32–V5.40), USG FLEX (V4.50–V5.40), USG FLEX 50(W) (V4.16–V5.40) i USG20(W)-VPN (V4.16–V5.40) pozwala półuwierzytelnionemu atakującemu, który ukończył tylko pierwszy etap 2FA, na przeglądanie i pobranie konfiguracji systemu z urządzenia.

Ocena ryzyka

Atakujący może uzyskać dostęp do konfiguracji urządzenia, w tym potencjalnie wrażliwych ustawień sieciowych i bezpieczeństwa, co może ułatwić dalsze ataki. Ryzyko dotyczy urządzeń z włączonym 2FA.

Rekomendacja

Zaktualizuj firmware do najnowszej wersji. Rozważ wyłączenie dostępu do interfejsu zarządzania z niezaufanych sieci.

Inne podatności w Zyxel ATP/USG FLEX/USG20(W)-VPN firmware

CVE-2025-8078Wysokie
Podatność na wstrzyknięcie poleceń po uwierzytelnieniu w firmach Zyxel ATP (wersje V4.32–V5.40), USG FLEX (V4.50–V5.40), USG FLEX 50(W) (V4.16–V5.40) i USG20(W)-VPN (V4.16–V5.40) pozwala uwierzytelnionemu atakującemu z uprawnieniami administratora na wykonanie poleceń systemu operacyjnego poprzez przekazanie spreparowanego ciągu jako argumentu do polecenia CLI.

Oryginalny opis (angielski, źródło NVD)

A missing authorization vulnerability in Zyxel ATP series firmware versions from V4.32 through V5.40, USG FLEX series firmware versions from V4.50 through V5.40, USG FLEX 50(W) series firmware versions from V4.16 through V5.40, and USG20(W)-VPN series firmware versions from V4.16 through V5.40 could allow a semi-authenticated attacker—who has completed only the first stage of the two-factor authentication (2FA) process—to view and download the system configuration from an affected device.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS