16.07.2025

BDU:2025-14361 (CVE-2025-7673) — уязвимость компонента URL Parser веб-сервера zhttpd микропрограммного обеспечения маршрутизаторов Zyxel

По данным БДУ ФСТЭК России, по состоянию на 17.11.2025.

Критический — 9.8/10 Устранена

Уязвимость компонента URL Parser веб-сервера zhttpd микропрограммного обеспечения маршрутизаторов Zyxel связана с копированием буфера без проверки размера входных данных. Эксплутация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код путем отправки специально сформированного HTTP-запроса

Кого касается и что делать

Уязвимое ПО: EMG3525-T50B (Zyxel Communications) — версии до 5.50(ABPM.4)C0, до 5.50(ABSL.0)b8; EMG5523-T50B (Zyxel Communications) — версии до 5.50(ABPM.4)C0, до 5.50(ABSL.0)b8; EMG5723-T50K (Zyxel Communications) — версии до 5.50(ABOM.5)C0; и ещё 18 позиций
Что делать: уязвимость устранена производителем — применить исправления: www.zyxel.com

Сведения об уязвимости

Идентификаторы	BDU:2025-14361 · CVE-2025-7673
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость компонента URL Parser веб-сервера zhttpd микропрограммного обеспечения маршрутизаторов Zyxel, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Даты	Опубликована: 17.11.2025 · Обновлена ФСТЭК: 17.11.2025 · Выявлена: 16.07.2025
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-120 — копирование буфера без проверки размера входных данных (классическое переполнение буфера)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

EMG3525-T50B (Zyxel Communications) — версии до 5.50(ABPM.4)C0, до 5.50(ABSL.0)b8 · ПО сетевого программно-аппаратного средства
EMG5523-T50B (Zyxel Communications) — версии до 5.50(ABPM.4)C0, до 5.50(ABSL.0)b8 · ПО сетевого программно-аппаратного средства
EMG5723-T50K (Zyxel Communications) — до 5.50(ABOM.5)C0 · ПО сетевого программно-аппаратного средства
EMG6726-B10A (Zyxel Communications) — до 5.13 (ABNP.6).C0 · ПО сетевого программно-аппаратного средства
EX3510-B0 (Zyxel Communications) — до 5.17(ABUP.3)C0 · ПО сетевого программно-аппаратного средства
EX5510-B0 (Zyxel Communications) — до 5.15(ABQX.3)C0 · ПО сетевого программно-аппаратного средства
VMG1312-T20B (Zyxel Communications) — до 5.50(ABSB.3)C0 · ПО сетевого программно-аппаратного средства
VMG3625-T50B (Zyxel Communications) — до 5.50(ABPM.4)C0 · ПО сетевого программно-аппаратного средства
VMG3925-B10B/B10C (Zyxel Communications) — до 5.13(AAVF.16)C0 · ПО сетевого программно-аппаратного средства
VMG3927-B50A_B60A (Zyxel Communications) — до 5.15(ABMT.5)C0 · ПО сетевого программно-аппаратного средства
VMG3927-B50B (Zyxel Communications) — до 5.13(ABLY.6)C0 · ПО сетевого программно-аппаратного средства
VMG3927-T50K (Zyxel Communications) — до 5.50(ABOM.5)C0 · ПО сетевого программно-аппаратного средства
VMG4005-B50B (Zyxel Communications) — до 5.13(ABRL.5)C0 · ПО сетевого программно-аппаратного средства
VMG4927-B50A (Zyxel Communications) — до 5.13(ABLY.6)C0 · ПО сетевого программно-аппаратного средства
VMG8623-T50B (Zyxel Communications) — до 5.50(ABPM.4)C0 · ПО сетевого программно-аппаратного средства
VMG8825-B50A_B60A (Zyxel Communications) — до 5.15(ABMT.5)C0 · ПО сетевого программно-аппаратного средства
VMG8825-Bx0B (Zyxel Communications) — до 5.17(ABNY.5)C0 · ПО сетевого программно-аппаратного средства
VMG8825-T50K (Zyxel Communications) — до 5.50(ABOM.5)C0 · ПО сетевого программно-аппаратного средства
VMG8924-B10D (Zyxel Communications) — до 5.13(ABGQ.6)C0 · ПО сетевого программно-аппаратного средства
XMG3927-B50A (Zyxel Communications) — до 5.15(ABMT.5)C0 · ПО сетевого программно-аппаратного средства
XMG8825-B50A (Zyxel Communications) — до 5.17(ABMT.5)C0 · ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

Использование рекомендаций производителя
www.zyxel.com/service-provider/global/en/zyxel-security-a…

Источники

www.zyxel.com/service-provider/global/en/zyxel-security-a…

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: