Múltiples vulnerabilidades en productos IDF y ZLF de ZIV
Fecha de publicación 05/06/2025
Identificador
INCIBE-2025-0292
Importancia
4 - Alta
Recursos Afectados
IDF y ZLF, versiones anteriores a la:
- 0.10.0-0C08 y 0.10.0-0D00 para la vulnerabilidad CVE-2025-41361.
- 1.1.0 para el resto de las vulnerabilidades.
Descripción
INCIBE ha coordinado la publicación de 8 vulnerabilidades: 2 de severidad alta y 6 de severidad media, que afectan a las protecciones IDF y ZLF de ZIV. Las vulnerabilidades han sido descubiertas por Aarón Flecha Menéndez y Gabriel Vía Echezarreta.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE.
- CVE-2025-41360: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N | CWE-400
- CVE-2025-41361: CVSS v4.0: 8.3 | CVSS AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N | CWE-400
- CVE-2025-41362: CVSS v4.0: 5.3 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-94
- CVE-2025-41363: CVSS v4.0: 5.3 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:L | CWE-942
- CVE-2025-41364: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
- CVE-2025-41365: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-94
- CVE-2025-41366: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:L | CWE-942
- CVE-2025-41367: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
Solución
Las vulnerabilidades han sido solucionadas por ZIV en la versión de firmware:
- 0.10.0-0C08 y 0.10.0-0D00 para la vulnerabilidad CVE-2025-41361.
- 1.1.0 para el resto de las vulnerabilidades.
Detalle
- CVE-2025-41360: vulnerabilidad de consumo incontrolado de recursos en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04. El dispositivo es vulnerable a un ataque de denegación de servicio por inundación de paquetes.
- CVE-2025-41361: vulnerabilidad de consumo incontrolado de recursos en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04. Los dispositivos gestionan de forma inadecuada las solicitudes TLS asociadas a sockets PROCOME, por lo que las solicitudes TLS enviadas a dichos puertos PROCOME podrían provocar el reinicio del dispositivo y dar lugar a una denegación de servicio. Para explotar esta vulnerabilidad, los puertos PROCOME deben estar configurados y activos, y con el cifrado de comunicaciones activo.
- CVE-2025-41362: vulnerabilidad de inyección de código en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04. Esta vulnerabilidad permite a un atacante almacenar carga maliciosa en el software que se ejecutará en el navegador de la víctima. Para explotar esta vulnerabilidad es necesario autenticarse en el dispositivo y ejecutar ciertos comandos que se pueden ejecutar con permiso de visualización.
- CVE-2025-41363: en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04 se ha detectado un error de configuración en la compartición de recursos entre orígenes (CORS). Para explotar esta vulnerabilidad es necesario autenticarse en el dispositivo y ejecutar ciertos comandos que se pueden ejecutar con permiso de visualización.
- CVE-2025-41364: vulnerabilidad de Cross-Site Scripting (XSS) almacenado en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04. Esta vulnerabilidad permite a un atacante almacenar carga maliciosa Javascript en el software que se ejecutará en el navegador de la víctima. Para explotar esta vulnerabilidad es necesario autenticarse en el dispositivo y ejecutar ciertos comandos que se pueden ejecutar con permiso de visualización.
- CVE-2025-41365: vulnerabilidad de inyección de código en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04. Esta vulnerabilidad permite a un atacante almacenar carga maliciosa en el software que se ejecutará en el navegador de la víctima. Para explotar esta vulnerabilidad es necesario autenticarse en el dispositivo y ejecutar ciertos comandos que se pueden ejecutar únicamente con permisos superiores al de visualización.
- CVE-2025-41366: en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04 se ha detectado un error de configuración en la compartición de recursos entre orígenes (CORS). Para explotar esta vulnerabilidad es necesario autenticarse en el dispositivo y ejecutar ciertos comandos que se pueden ejecutar únicamente con permisos superiores al de visualización.
- CVE-2025-41367: vulnerabilidad de Cross-Site Scripting (XSS) almacenado en IDF v0.10.0-0C03-03 y ZLF v0.10.0-0C03-04. Esta vulnerabilidad permite a un atacante almacenar carga maliciosa Javascript en el software que se ejecutará en el navegador de la víctima. Para explotar esta vulnerabilidad es necesario autenticarse en el dispositivo y ejecutar ciertos comandos que se pueden ejecutar únicamente con permisos superiores al de visualización.
