BDU:2024-11409

Опубликовано: 15 мар. 2023

Источник: fstec

CVSS3: 7.8

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость сценария mainfunction.cgi веб-интерфейса микропрограммного обеспечения маршрутизаторов DrayTek Vigor существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды при обработке параметра parameter

Вендор

DrayTek

Наименование ПО

Vigor 2960

Версия ПО

1.5.1.4 (Vigor 2960)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- обеспечьте комплексную видимость устройств периметра сети, включая программное обеспечение, на котором они работают, и шаблоны связи;

- оцените их профиль риска, уделяя особое внимание уязвимостям, слабым конфигурациям, уязвимости в Интернете и другим факторам;

- замените стандартные или легко угадываемые учетные данные и используйте надежные, уникальные пароли для каждого устройства;

- своевременно устанавливайте исправления для устройств и рассмотрите возможность замены устройств с истекшим сроком службы, которые больше не могут быть обновлены;

- сегментируйте свою сеть, чтобы гарантировать, что если злоумышленники получат первоначальный доступ через маршрутизатор, они не смогут немедленно получить доступ ко всем критически важным устройствам в вашей сети.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-24229
CVE

EPSS

Процентиль: 80%

0.01408

Низкий

7.8 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2023-24229

CVSS3: 7.8

nvd

почти 3 года назад

DrayTek Vigor2960 v1.5.1.4 allows an authenticated attacker with network access to the web management interface to inject operating system commands via the mainfunction.cgi 'parameter' parameter. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

GHSA-pqv5-8qj7-9f3r

CVSS3: 7.8

github

почти 3 года назад

DrayTek Vigor2960 v1.5.1.4 was discovered to contain a command injection vulnerability via the mainfunction.cgi component.

EPSS

Процентиль: 80%

0.01408

Низкий

7.8 High

CVSS3

6.8 Medium

CVSS2