CVE-2025-54983
ŚrednieCVSS 5.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Port kontroli stanu w Zscaler Client Connector na Windows (wersje 4.6 < 4.6.0.216 i 4.7 < 4.7.0.47) w określonych okolicznościach nie został zwolniony po użyciu, co umożliwiło ruchowi potencjalne ominięcie mechanizmów kontroli przekazywania ZCC.
Ocena ryzyka
Atakujący może wykorzystać otwarty port do obejścia polityk bezpieczeństwa Zscaler Client Connector, co może prowadzić do nieautoryzowanego dostępu do sieci. Ryzyko dotyczy organizacji korzystających z Zscaler Client Connector w podanych wersjach.
Rekomendacja
Zaktualizuj Zscaler Client Connector na Windows do wersji 4.6.0.216 lub nowszej (dla gałęzi 4.6) oraz 4.7.0.47 lub nowszej (dla gałęzi 4.7).
Inne podatności w Zscaler Client Connector
Zobacz wszystkie- CVE-2026-59568Krytyczne
Wielokrotne podatności w dotkniętych wersjach Zscaler Client Connector umożliwiają zdalne wykonanie kodu, dając nieuwierzytelnionemu, nieuprzywilejowanemu użytkownikowi możliwość wykonania dowolnego kodu w kontekście ZCC.
- CVE-2026-59564Krytyczne
Istnieje problem z obejściem uwierzytelnienia w komunikacji między dotkniętymi wersjami Zscaler Client Connector a Portalem Zscaler Client Connector.
- CVE-2026-59570Wysokie
W podatnych wersjach Zscaler Client Connector wstępnie zainstalowana aplikacja równorzędna może zniszczyć tunel Zscaler, wymusić wylogowanie użytkownika i przełączać przechwytywanie pakietów.
- CVE-2026-59569Wysokie
Podatność na niewłaściwą walidację danych wejściowych w Zscaler Client Connector na Androidzie i ChromeOS pozwala atakującemu potencjalnie obejść mechanizmy kontroli Zscaler.
- CVE-2026-25687Wysokie
Warunek wyścigu w obsłudze tunelu ZPA w podatnych wersjach Zscaler Client Connector (ZCC) umożliwia uszkodzenie sterty, co prowadzi do odmowy usługi (awaria klienta) i potencjalnie do wykonania dowolnego kodu w kontekście procesu ZCC.
- CVE-2026-59567Wysokie
Wielokrotne podatności w Zscaler Client Connector umożliwiają lokalną eskalację uprawnień, dając nieuprzywilejowanemu użytkownikowi możliwość wykonania dowolnego kodu w kontekście uprzywilejowanym.
- CVE-2026-59566Wysokie
Lokalnie wykorzystywalny błąd przepełnienia bufora może spowodować lokalny atak typu denial-of-service na Zscaler Client Connector na Androidzie i ChromeOS.
- CVE-2026-59565Wysokie
Zdalnie wykorzystywalny błąd przepełnienia bufora może spowodować lokalny i kernelowy atak denial-of-service na Zscaler Client Connector na Windows.
- CVE-2026-22569Średnie
Nieprawidłowa konfiguracja startowa Zscaler Client Connector na Windows może w rzadkich przypadkach spowodować, że ograniczona ilość ruchu nie będzie inspekcjonowana.
Oryginalny opis (angielski, źródło NVD)
A health check port on Zscaler Client Connector on Windows, versions 4.6 < 4.6.0.216 and 4.7 < 4.7.0.47, which under specific circumstances was not released after use, allowed traffic to potentially bypass ZCC forwarding controls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS