CVE-2025-59818: Injeção de Comandos no Firmware do Zenitel Tcis-3 via Nome de Arquivo Enviado

Visão geral

A CVE-2025-59818 é classificada como injeção de comandos (CWE-77) e afeta o firmware Zenitel Tcis-3. O registro descreve uma falha que permite a um usuário autenticado executar comandos arbitrários no sistema subjacente por meio do nome de um arquivo enviado. O registro foi publicado em 2026-02-04 e tem status de fonte Analyzed.

Impacto

A NVD atribui pontuação base 9.8 pelo CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcance pela rede, baixa complexidade, ausência de privilégios exigidos e alto impacto em confidencialidade, integridade e disponibilidade. O CNA cert@ncsc.nl atribuiu nota 10 pelo CVSS 3.1. Uma execução bem-sucedida permitiria agir no dispositivo com os acessos do processo vulnerável, e as consequências concretas dependem da implantação, que o registro não descreve.

Produtos e versões afetados

Zenitel Tcis-3 Firmware: versões anteriores à 9.2.3.3, conforme listado no registro.
O registro não traz versão corrigida nem entradas de correção.
O registro cita notas de versão 9.3 de várias linhas de produtos Zenitel (Turbine, VSF-Fortitude6, ZIPS, VSF-Fortitude8 e VSF-Display Series). Seu conteúdo não faz parte do registro, portanto não é possível confirmar aqui se tratam esta CVE.

Status de exploração

O registro indica que esta CVE não consta no catálogo CISA KEV. Não há exploração confirmada nas fontes consultadas para esta análise, e não há pontuação EPSS disponível.

Remediação e mitigação

Consulte o aviso de segurança da Zenitel e confirme com o fabricante qual build de firmware resolve o problema.
Inventarie os dispositivos Tcis-3 e identifique os que executam firmware anterior à 9.2.3.3.
Restrinja o acesso às interfaces web, de gerenciamento e às funções de envio de arquivos a administradores e redes confiáveis, segmentando esses equipamentos das redes de usuários comuns.
Trate nomes de arquivos enviados como entrada não confiável em qualquer processo local que os utilize, e aplique a atualização do fabricante após validação.

Orientações de detecção

Revise os logs do dispositivo e do sistema de gerenciamento em busca de envios feitos por contas ou origens inesperadas.
Observe nomes de arquivo com caracteres incomuns relacionados a shell ou com tamanhos fora do padrão, bem como alterações inesperadas de processos ou configurações após atividade de envio.
Encaminhe os logs a um sistema central para correlacionar eventos ao longo do tempo.

Limitações das informações disponíveis

O registro não informa versão corrigida, portanto o status de correção de cada linha de firmware é desconhecido.
A descrição diz que o atacante precisa estar autenticado, mas o vetor CVSS registra PR:N (nenhum privilégio exigido). As fontes não resolvem essa diferença, então a pré-condição real deve ser confirmada com o fabricante.
Não há dados EPSS ou SSVC disponíveis, e o texto do aviso do fabricante não consta no registro.

Perguntas frequentes

A CVE-2025-59818 está sendo explorada ativamente?

O registro não inclui esta CVE no catálogo CISA KEV, e não há exploração confirmada nas fontes consultadas para esta análise.

Quais versões da Zenitel são afetadas?

O registro lista o firmware Zenitel Tcis-3 em versões anteriores à 9.2.3.3. Não há versão corrigida informada, por isso o aviso do fabricante deve ser consultado para identificar o build que resolve o problema.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.