BDU:2024-11425

Опубликовано: 03 мар. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Средний

Описание

Уязвимость функции sub_1225C сценария mainfunction.cgi веб-интерфейса микропрограммного обеспечения маршрутизаторов DrayTek Vigor связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды

Вендор

DrayTek

Наименование ПО

Vigor 2960

Версия ПО

1.5.1.4 (Vigor 2960)

1.5.1.5 (Vigor 2960)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- обеспечьте комплексную видимость устройств периметра сети, включая программное обеспечение, на котором они работают, и шаблоны связи;

- оцените их профиль риска, уделяя особое внимание уязвимостям, слабым конфигурациям, уязвимости в Интернете и другим факторам;

- замените стандартные или легко угадываемые учетные данные и используйте надежные, уникальные пароли для каждого устройства;

- своевременно устанавливайте исправления для устройств и рассмотрите возможность замены устройств с истекшим сроком службы, которые больше не могут быть обновлены;

- сегментируйте свою сеть, чтобы гарантировать, что если злоумышленники получат первоначальный доступ через маршрутизатор, они не смогут немедленно получить доступ ко всем критически важным устройствам в вашей сети.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-1162
CVE

EPSS

Процентиль: 97%

0.35799

Средний

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2023-1162

CVSS3: 7.2

nvd

больше 2 лет назад

** UNSUPPORTED WHEN ASSIGNED ** A vulnerability, which was classified as critical, was found in DrayTek Vigor 2960 1.5.1.4/1.5.1.5. Affected is an unknown function of the file mainfunction.cgi of the component Web Management Interface. The manipulation of the argument password leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. VDB-222258 is the identifier assigned to this vulnerability. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

GHSA-22fh-pc6h-cqp2