Aviso de seguridad Zyxel acerca de vulnerabilidades encontradas en sus dispositivos Firewalls USG FLEX serie H
- USG FLEX H: uOS v1.31 y versiones anteriores hasta uOS v1.20.
Zyxel informa que ha encontrado dos vulnerabilidades en los firewalls USG FLEX serie H y que ha publicado parches para subsanar estos errores. Las vulnerabilidades detectadas podrían permitir a un atacante incrementar sus privilegios en el sistema.
Zyxel recomienda a los usuarios instalar los parches publicados para actualizar a la última versión y obtener una protección óptima para el dispositivo:
- USG FLEX H: uOS v1.32.
Recuerda la importancia de mantener los sistemas actualizados para evitar vulnerabilidades como la descrita en este aviso. Además, contar con un plan de respuesta ante incidentes puede ayudar a mitigar el impacto de las amenazas.
Las vulnerabilidades identificadas por Zyxel afectan solamente a una serie de productos con soporte, por lo que si no se menciona el dispositivo en este aviso es, o bien porque su dispositivo no se ve afectado por las vulnerabilidades detectadas, o bien porque el dispositivo carece de soporte por haber finalizado su ciclo de vida útil.
CVE-2025-1731: Esta vulnerabilidad, de severidad alta, provoca una asignación incorrecta de permisos en los comandos PostgreSQL, lo que podría permitir a un atacante autenticado en local y con pocos privilegios acceder al Shell de Linux y, mediante un script malicioso o modificando la configuración del sistema al acceder como un usuario administrador mediante un token robado, aumentar sus privilegios de usuario.
NOTA: Para poder modificar la configuración del sistema se deben cumplir las siguientes condiciones: (1) que la sesión de administrador no se haya cerrado y (2) que el token siga siendo válido.
- CVE-2025-1732: Esta vulnerabilidad, de severidad media, realiza una administración inadecuada de privilegios en la función de recuperación, lo que podría permitir a un atacante autenticado en local con privilegios de administrador cargar un archivo de configuración manipulado y, así, aumentar sus privilegios en el dispositivo vulnerable.
Contenido realizado en el marco de los fondos del Plan de Recuperación, Transformación y Resiliencia del Gobierno de España, financiado por la Unión Europea (Next Generation).
