Aktywnie wykorzystywana w atakach
DrayTek Vigor Routers OS Command Injection Vulnerability
DrayTek - Vigor Routers · Figuruje w katalogu CISA KEV od 2025-05-15. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2024-12987
WysokieCVSS 7.3KEVStreszczenie
Krytyczna podatność w DrayTek Vigor2960 i Vigor300B w wersji 1.5.1.4 w interfejsie zarządzania webowym. Manipulacja argumentem 'session' w pliku /cgi-bin/mainfunction.cgi/apmcfgupload prowadzi do wstrzyknięcia poleceń systemu operacyjnego (OS command injection).
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem. Podatność jest publicznie znana i może być aktywnie wykorzystywana.
Rekomendacja
Natychmiast zaktualizuj oprogramowanie DrayTek Vigor2960/Vigor300B do wersji 1.5.1.5 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do interfejsu zarządzania.
Inne podatności w DrayTek Vigor
Zobacz wszystkie- CVE-2024-51138Krytyczne
W routerach DrayTek Vigor wykryto podatność przepełnienia bufora stosu w funkcji parsowania URL serwera TR069 STUN. Brak odpowiedniego sprawdzania granic parametrów URL umożliwia zdalnemu atakującemu wykonanie dowolnego kodu z podwyższonymi uprawnieniami poprzez wysłanie spreparowanego żądania.
- CVE-2020-8515KrytyczneAktywnie exploitowane
Urządzenia DrayTek Vigor2960 1.3.1_Beta, Vigor3900 1.4.4_Beta oraz Vigor300B 1.3.3_Beta, 1.4.2.1_Beta i 1.4.4_Beta pozwalają na zdalne wykonanie kodu jako root (bez uwierzytelniania) poprzez metaznaki powłoki w URI cgi-bin/mainfunction.cgi. Problem został naprawiony w wersji v1.5.1 dla Vigor3900/2960/300B.
- CVE-2024-41340Wysokie
Podatność w urządzeniach Draytek Vigor umożliwia atakującym przesłanie spreparowanych modułów APP Enforcement, co prowadzi do wykonania dowolnego kodu. Luka dotyczy wielu modeli przed określonymi wersjami firmware.
- CVE-2024-41336Wysokie
W urządzeniach Draytek Vigor wykryto przechowywanie haseł w postaci jawnego tekstu. Podatność dotyczy wielu modeli i wersji oprogramowania sprzętowego.
- CVE-2024-41335Wysokie
Urządzenia Draytek Vigor używają niebezpiecznych funkcji strcmp i memcmp, co umożliwia ataki timingowe. Podatność występuje w wielu modelach przed określonymi wersjami firmware. Atakujący może potencjalnie uzyskać wrażliwe informacje poprzez pomiar czasu odpowiedzi.
- CVE-2024-41334Wysokie
Urządzenia Draytek Vigor nie weryfikują certyfikatów podczas pobierania modułów APPE, co pozwala atakującym na wgranie spreparowanych modułów z nieoficjalnych serwerów i zdalne wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability, which was classified as critical, was found in DrayTek Vigor2960 and Vigor300B 1.5.1.4. Affected is an unknown function of the file /cgi-bin/mainfunction.cgi/apmcfgupload of the component Web Management Interface. The manipulation of the argument session leads to os command injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 1.5.1.5 is able to address this issue. It is recommended to upgrade the affected component.