Quisieron actualizar una IP y acabaron con un hacker en el sistema: Zyxel, por error, facilitó la vida a cibercriminales de todo el mundo

Se ha detectado una vulnerabilidad en los cortafuegos y pasarelas de seguridad ZYXEL que permite a un atacante obtener el control total del dispositivo. El fallo está relacionado con el mecanismo de DNS dinámico y, si se explota con éxito, permite la ejecución remota de comandos con privilegios de superusuario.

Se trata de la vulnerabilidad CVE-2025-11730, que afecta a los dispositivos de las series ATP y USG con la rama de firmware 5.41. Un investigador de seguridad investigó el funcionamiento de la función de DNS dinámico, que se usa para actualizar la dirección IP pública cuando cambia. Durante el análisis se comprobó que, al configurar un perfil de DNS dinámico, el dispositivo consulta la dirección indicada para determinar su IP pública. Esta dirección se establece mediante el parámetro de enlace en la configuración del perfil.

El problema radica en cómo se procesa ese enlace dentro del sistema. El dispositivo construye un comando del sistema y ejecuta una petición de red a través de la utilidad integrada de descarga de datos. Si el filtrado de caracteres en el parámetro del enlace es insuficiente, existe la posibilidad de inyectar fragmentos adicionales de comando. A pesar de las restricciones parciales sobre caracteres especiales, el investigador demostró que es posible eludirlas y lograr la ejecución remota de comandos en el sistema.

El análisis del módulo interno del servicio de actualización de DNS reveló otro problema. El comando se forma en un búfer de tamaño fijo. Si la cadena resulta demasiado larga, se trunca. Como resultado, el servicio finaliza de forma abrupta y la función de DNS dinámico deja de funcionar hasta que se reinicie el dispositivo. Es decir, además de la ejecución remota de comandos, también es posible una denegación de servicio.

Durante la verificación, el investigador confirmó que puede modificar los archivos de configuración del sistema y obtener acceso a la consola de comandos con privilegios máximos. El fabricante fue notificado del problema con antelación. La empresa confirmó la recepción del informe, asignó un identificador a la vulnerabilidad y acordó una divulgación retrasada. La publicación se pospuso para que pudiera salir una versión de firmware con la corrección.

Según datos del fabricante, la actualización con la corrección estuvo disponible un día antes de la divulgación pública. Se recomienda a los propietarios de los dispositivos de las series ATP y USG que instalen la versión de firmware más reciente lo antes posible y revisen la configuración de acceso remoto.