CVE-2025-59818

Command Injection w Zenitel Tcis-3 via nazwa przesyłanego pliku

CVSS 10.0v3.1pub. 2026-02-04upd. 2026-02-11

Podatność typu command injection w urządzeniu Zenitel Tcis-3 umożliwia uwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych poprzez spreparowaną nazwę przesyłanego pliku. Ocena CVSS 10.0 wskazuje na pełne przejęcie kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

This vulnerability allows authenticated attackers to execute arbitrary commands on the underlying system using the file name of an uploaded file.

🤖 Analiza AI

Jak działa

Firmware urządzenia Zenitel Tcis-3 nieprawidłowo waliduje lub sanityzuje nazwę pliku przekazywaną podczas operacji przesyłania (upload). Atakujący może osadzić w nazwie pliku złośliwe polecenia systemowe, które następnie są wykonywane przez system operacyjny urządzenia. Jest to klasyczny błąd CWE-77 (Improper Neutralization of Special Elements used in a Command), gdzie niezaufane dane trafiają bezpośrednio do interpretera poleceń.

Skutki

Uwierzytelniony atakujący może wykonać dowolne polecenia na poziomie systemu operacyjnego urządzenia, co prowadzi do pełnego przejęcia kontroli, wycieku poufnych danych, naruszenia integralności systemu oraz potencjalnego zakłócenia jego dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja do wersji firmware oznaczonych w notatkach wydania serii 9.3 (Turbine 9.3, VSF-Display 9.3, VSF-Fortitude6 9.3, VSF-Fortitude8 9.3, ZIPS 9.3) opublikowanych przez Zenitel

Kogo dotyczy

Zenitel Tcis-3 oraz Zenitel Tcis-3 Firmware — wersje wskazane w referencjach producenta (notatki wydania Turbine 9.3, VSF-Display 9.3, VSF-Fortitude6 9.3, VSF-Fortitude8 9.3, ZIPS 9.3)