CVE-2025-64093

Podatność typu command injection (CWE-77) polega na tym, że aplikacja nie weryfikuje poprawnie danych wejściowych przekazywanych do pola hostname urządzenia. Atakujący bez jakiegokolwiek uwierzytelnienia może wstrzyknąć arbitralne polecenia systemowe, które zostaną wykonane w kontekście urządzenia. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani specjalnych uprawnień, a zakres ataku wykracza poza sam komponent (S:C).

Atakujący może przejąć pełną kontrolę nad urządzeniem, uzyskując poufność, integralność i dostępność systemu na najwyższym poziomie — w tym odczyt danych konfiguracyjnych, modyfikację ustawień urządzenia oraz potencjalne zakłócenie jego działania. Możliwe jest również wykorzystanie skompromitowanego urządzenia jako punktu wejścia do dalszego lateral movement w sieci.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersjach naprawiających podatność zawiera oficjalny Security Advisory Zenitel (A100K12333) dostępny pod adresem wskazanym w referencjach. Do czasu zastosowania aktualizacji zaleca się izolację urządzeń od sieci publicznej oraz ograniczenie dostępu do nich wyłącznie do zaufanych segmentów sieci.

Urządzenia Zenitel ICx500 oraz ICx510 (firmware i sprzęt) — konkretne wersje firmware wskazane w referencjach producenta (Security Advisory A100K12333).

Podatność opublikowana 2026-01-09; Security Advisory producenta nosi oznaczenie A100K12333 i jest dostępny na stronie Zenitel. Pomimo maksymalnego wyniku CVSS 10.0, podatność nie figuruje na liście CISA KEV w momencie publikacji karty.