BDU:2024-11415

Опубликовано: 16 авг. 2023

Источник: fstec

CVSS3: 6.5

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость функции sub_1DF14 сценария mainfunction.cgi веб-интерфейса микропрограммного обеспечения маршрутизаторов DrayTek Vigor связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к конфиденциальным системным файлам

Вендор

DrayTek

Наименование ПО

Vigor 2960

Версия ПО

1.5.1.4 (Vigor 2960)

1.5.1.5 (Vigor 2960)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- обеспечьте комплексную видимость устройств периметра сети, включая программное обеспечение, на котором они работают, и шаблоны связи;

- оцените их профиль риска, уделяя особое внимание уязвимостям, слабым конфигурациям, уязвимости в Интернете и другим факторам;

- замените стандартные или легко угадываемые учетные данные и используйте надежные, уникальные пароли для каждого устройства;

- своевременно устанавливайте исправления для устройств и рассмотрите возможность замены устройств с истекшим сроком службы, которые больше не могут быть обновлены;

- сегментируйте свою сеть, чтобы гарантировать, что если злоумышленники получат первоначальный доступ через маршрутизатор, они не смогут немедленно получить доступ ко всем критически важным устройствам в вашей сети.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-1009
CVE

EPSS

Процентиль: 90%

0.05763

Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2023-1009

CVSS3: 6.5

nvd

почти 3 года назад

** UNSUPPORTED WHEN ASSIGNED ** A vulnerability classified as critical has been found in DrayTek Vigor 2960 1.5.1.4/1.5.1.5. Affected is the function sub_1DF14 of the file /cgi-bin/mainfunction.cgi of the component Web Management Interface. The manipulation of the argument option with the input /../etc/passwd- leads to path traversal. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. VDB-221742 is the identifier assigned to this vulnerability. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

GHSA-jcwr-vr95-x32m

CVSS3: 5.5

github