Une faille dangereuse (CVE-2025-9133) a été identifiée dans les dispositifs de la série Zyxel ATP/USG : même avec l’authentification à deux facteurs activée, un attaquant disposant de creds (ayant franchi seulement la 1ʳᵉ étape du 2FA) peut potentiellement contourner les contrôles d’accès et accéder à la configuration complète du système.
En envoyant une commande commençant par un élément autorisé (ex : show version), puis en enchaînant ;show running-config, la validation ne détecte pas la seconde commande et la base entière est exposée. Rainpwn
Impact : divulgation de mots de passe, clés, configurations réseau — c’est un accès potentiel complet à l’appareil. Rainpwn
Recommandations : appliquer rapidement les correctifs proposés par Zyxel, bloquer les chaînes de commandes (; ou pipeline), renforcer l’autorisation per-commande. Rainpwn
Si vous gérez ou utilisez une Zyxel ATP/USG : vérifiez que vous êtes à jour, restreignez l’accès à l’interface d’administration, et surveillez toute activité suspecte.
⬇️ 2025-08-15 : ZYXEL a été informé de la vulnérabilité 2025-08-15 : ZYXEL a accusé réception de mon rapport de vulnérabilité. 2025-08-19 : ZYXEL a attribué l’identifiant CVE-2025-9133 aux problèmes signalés et m’a informé de son intention de publier un avis de sécurité le 30 septembre 2025. 2025-09-08 : ZYXEL a demandé de reporter la divulgation publique au 21 octobre 2025, car le correctif du firmware devait être publié le 20 octobre 2025. Cela devait permettre aux utilisateurs d’appliquer la mise à jour et de sécuriser leurs systèmes avant la divulgation de la faille. 2025-10-21 : ZYXEL a publié son avis de sécurité, conformément au calendrier de divulgation coordonnée.
⬇️ CVE-2025-9133: Configuration Exposure via Authorization Bypass 👇
https://rainpwn.blog/blog/cve-2025-9133/
🩹⬇️
"The missing authorization vulnerability in certain ZLD firewall versions could allow a semi-authenticated attacker—who has completed only the first stage of the two-factor authentication (2FA) process—to view and download the system configuration from an affected device." ⬇️ "Zyxel security advisory for post-authentication command injection and missing authorization vulnerabilities in ZLD firewalls"
👇
🌐⬇️