Una vulnerabilidad de gestión de privilegios incorrecta en la función de recuperación del firmware uOS de la serie Zyxel USG FLEX H versión V1.31 y anteriores podría permitir que un atacante local autenticado con privilegios de administrador cargue un archivo de configuración manipulado y eleve privilegios en un dispositivo vulnerable.

La explotación exitosa de esta vulnerabilidad podría permitir a un atacante con acceso local y privilegios de administrador tomar el control total del dispositivo USG FLEX H. Esto implica la capacidad de modificar la configuración del firewall, acceder a datos sensibles que transitan por la red, e incluso utilizar el dispositivo como punto de apoyo para ataques a otros sistemas dentro de la red. Un atacante podría, por ejemplo, modificar las reglas de firewall para permitir el acceso no autorizado a recursos internos, o robar credenciales almacenadas en el dispositivo. La severidad de este impacto se agrava por la naturaleza crítica de los dispositivos de seguridad de red como los USG FLEX H, que a menudo protegen infraestructuras vitales.

Organizations utilizing Zyxel USG FLEX H series devices deployed in environments where local administrator access is not strictly controlled are at increased risk. Shared hosting environments where multiple users have administrator privileges on the firewall are particularly vulnerable.

• linux / server: Monitor system logs (journalctl) for unusual configuration file upload attempts. Look for patterns indicative of crafted configuration files.

journalctl -u zyxel-uos -f | grep -i 'configuration upload'

• zyxel: Check the Zyxel security advisory for specific IOCs related to the vulnerability. Monitor device logs for unauthorized configuration changes. • generic web: If the recovery function is exposed via a web interface, test for file upload vulnerabilities using standard web security testing techniques.

1. 2025-04-22Disclosure

   disclosure

1. Reservado2025-02-27
2. Publicada2025-04-22
3. Modificada2026-02-26
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar el firmware del dispositivo USG FLEX H a una versión corregida proporcionada por Zyxel. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso local al dispositivo y revisar cuidadosamente cualquier archivo de configuración que se haya subido recientemente. Aunque no hay reglas WAF o proxies específicas disponibles, se puede implementar un control de integridad de archivos para detectar modificaciones no autorizadas en la configuración. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando la versión del firmware y revisando los registros del sistema en busca de intentos de explotación.