CVE-2026-25687
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Warunek wyścigu w obsłudze tunelu ZPA w podatnych wersjach Zscaler Client Connector (ZCC) umożliwia uszkodzenie sterty, co prowadzi do odmowy usługi (awaria klienta) i potencjalnie do wykonania dowolnego kodu w kontekście procesu ZCC.
Ocena ryzyka
Atakujący może doprowadzić do awarii klienta ZCC lub wykonać dowolny kod w jego kontekście, co może skutkować przejęciem kontroli nad stacją roboczą użytkownika. Może to naruszyć poufność, integralność i dostępność systemu.
Rekomendacja
Zaktualizuj Zscaler Client Connector do najnowszej wersji zawierającej poprawkę. Monitoruj komunikaty bezpieczeństwa dostawcy i wdrażaj aktualizacje niezwłocznie.
Inne podatności w Zscaler Client Connector
Zobacz wszystkie- CVE-2026-59568Krytyczne
Wielokrotne podatności w dotkniętych wersjach Zscaler Client Connector umożliwiają zdalne wykonanie kodu, dając nieuwierzytelnionemu, nieuprzywilejowanemu użytkownikowi możliwość wykonania dowolnego kodu w kontekście ZCC.
- CVE-2026-59564Krytyczne
Istnieje problem z obejściem uwierzytelnienia w komunikacji między dotkniętymi wersjami Zscaler Client Connector a Portalem Zscaler Client Connector.
- CVE-2026-59570Wysokie
W podatnych wersjach Zscaler Client Connector wstępnie zainstalowana aplikacja równorzędna może zniszczyć tunel Zscaler, wymusić wylogowanie użytkownika i przełączać przechwytywanie pakietów.
- CVE-2026-59569Wysokie
Podatność na niewłaściwą walidację danych wejściowych w Zscaler Client Connector na Androidzie i ChromeOS pozwala atakującemu potencjalnie obejść mechanizmy kontroli Zscaler.
- CVE-2026-59567Wysokie
Wielokrotne podatności w Zscaler Client Connector umożliwiają lokalną eskalację uprawnień, dając nieuprzywilejowanemu użytkownikowi możliwość wykonania dowolnego kodu w kontekście uprzywilejowanym.
- CVE-2026-59566Wysokie
Lokalnie wykorzystywalny błąd przepełnienia bufora może spowodować lokalny atak typu denial-of-service na Zscaler Client Connector na Androidzie i ChromeOS.
- CVE-2026-59565Wysokie
Zdalnie wykorzystywalny błąd przepełnienia bufora może spowodować lokalny i kernelowy atak denial-of-service na Zscaler Client Connector na Windows.
- CVE-2026-22569Średnie
Nieprawidłowa konfiguracja startowa Zscaler Client Connector na Windows może w rzadkich przypadkach spowodować, że ograniczona ilość ruchu nie będzie inspekcjonowana.
Oryginalny opis (angielski, źródło NVD)
A race condition in the ZPA tunnel handler of affected versions of Zscaler Client Connector (ZCC) allows a heap corruption, resulting in a denial of service (client crash) and potentially arbitrary code execution in the context of the ZCC process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS