CVE-2024-41334
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Urządzenia Draytek Vigor nie weryfikują certyfikatów podczas pobierania modułów APPE, co pozwala atakującym na wgranie spreparowanych modułów z nieoficjalnych serwerów i zdalne wykonanie dowolnego kodu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad podatnym urządzeniem, co prowadzi do naruszenia poufności, integralności i dostępności sieci firmowej.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie układowe (firmware) do wersji wskazanych w opisie CVE dla poszczególnych modeli.
Inne podatności w Draytek Vigor
Zobacz wszystkie- CVE-2024-51138Krytyczne
W routerach DrayTek Vigor wykryto podatność przepełnienia bufora stosu w funkcji parsowania URL serwera TR069 STUN. Brak odpowiedniego sprawdzania granic parametrów URL umożliwia zdalnemu atakującemu wykonanie dowolnego kodu z podwyższonymi uprawnieniami poprzez wysłanie spreparowanego żądania.
- CVE-2024-41340Wysokie
Podatność w urządzeniach Draytek Vigor umożliwia atakującym przesłanie spreparowanych modułów APP Enforcement, co prowadzi do wykonania dowolnego kodu. Luka dotyczy wielu modeli przed określonymi wersjami firmware.
- CVE-2024-41336Wysokie
W urządzeniach Draytek Vigor wykryto przechowywanie haseł w postaci jawnego tekstu. Podatność dotyczy wielu modeli i wersji oprogramowania sprzętowego.
- CVE-2024-41335Wysokie
Urządzenia Draytek Vigor używają niebezpiecznych funkcji strcmp i memcmp, co umożliwia ataki timingowe. Podatność występuje w wielu modelach przed określonymi wersjami firmware. Atakujący może potencjalnie uzyskać wrażliwe informacje poprzez pomiar czasu odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Draytek devices Vigor 165/166 prior to v4.2.6 , Vigor 2620/LTE200 prior to v3.9.8.8, Vigor 2860/2925 prior to v3.9.7, Vigor 2862/2926 prior to v3.9.9.4, Vigor 2133/2762/2832 prior to v3.9.8, Vigor 2135/2765/2766 prior to v4.4.5.1, Vigor 2865/2866/2927 prior to v4.4.5.3, Vigor 2962/3910 prior to v4.3.2.7, Vigor 3912 prior to v4.3.5.2, and Vigor 2925 up to v3.9.6 were discovered to not utilize certificate verification, allowing attackers to upload crafted APPE modules from non-official servers, leading to arbitrary code execution.