兆勤科技安全漏洞公告：ZLD 防火牆後認證指令注入及缺失授權
CVE 編號： CVE-2025-8078, CVE-2025-9133
摘要
Zyxel 已針對特定版本 ZLD 防火牆韌體中的後認證指令注入漏洞與缺失授權漏洞發布更新檔，請用戶儘速安裝相關更新，以確保最佳防護。
資安漏洞產生哪些狀況？
CVE-2025-8078
部分 ZLD 防火牆版本存在「後認證指令注入」漏洞，認證成功且擁有管理權限的攻擊者，可能藉由 CLI 指令夾帶惡意字串，達到執行作業系統命令的效果。
CVE-2025-9133
部分 ZLD 防火牆版本存在「缺失授權」漏洞，僅完成兩步驟驗證第一階段的半認證攻擊者，可能存取並下載受影響設備的系統組態檔。
哪些版本受到影響？應該採取的行動?
我們經徹底調查後，已確認在漏洞支援期內的受影響產品並釋出修補更新（詳見下表）。
| 防火牆系列 | 受影響的版本 | 最新修補程式 | |
|---|---|---|---|
| CVE-2025-8078 | CVE-2025-9133 | ||
| ATP | ZLD V4.32 to V5.40 | ZLD V4.32 to V5.40 | ZLD V5.41 |
| USG FLEX | ZLD V4.50 to V5.40 | ZLD V4.50 to V5.40 | ZLD V5.41 |
| USG FLEX 50(W)/ USG20(W)-VPN | ZLD V4.16 to V5.40 | ZLD V4.16 to V5.40 | ZLD V5.41 |
如何獲得協助？
如有任何問題，請聯繫 Zyxel 經銷商、Zyxel 技術團隊（0800-500-550），或至官方 Zyxel 中文論壇，我們將會提供進一步協助與說明。
致謝
特別感謝 HackerHood 的 Alessandro Sgreccia 主動通報此資安議題。
修訂記錄
2025-10-21：初始版本