CVE-2023-33778
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wersje oprogramowania routerów Draytek Vigor poniżej 3.9.6/4.2.4, punktów dostępowych poniżej v1.4.0, przełączników poniżej 2.6.7 oraz Myvigor poniżej 2.3.2 zawierają wbudowane klucze szyfrujące. Umożliwia to atakującym powiązanie dowolnego podatnego urządzenia z ich własnym kontem.
Ocena ryzyka
Atakujący mogą tworzyć licencje WCF i DrayDDNS oraz synchronizować je z witryną, co stwarza poważne zagrożenie dla bezpieczeństwa sieci organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzeń do najnowszych wersji, aby usunąć wbudowane klucze szyfrujące i zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
Draytek Vigor Routers firmware versions below 3.9.6/4.2.4, Access Points firmware versions below v1.4.0, Switches firmware versions below 2.6.7, and Myvigor firmware versions below 2.3.2 were discovered to use hardcoded encryption keys which allows attackers to bind any affected device to their own account. Attackers are then able to create WCF and DrayDDNS licenses and synchronize them from the website.