DrayTek Vigor2960にコマンド注入の欠陥、悪用手法が公開済み
Summary
企業向けルーター DrayTek Vigor2960 の管理用 CGI に、ログインできる利用者が機器上で任意のコマンドを実行できてしまう欠陥が見つかり、悪用の手法がすでに公開されています。この機種は保守が限定的な製品(EoS)で、ベンダーは 1.5.1.7 で多くの問題を修正したと説明していますが、この欠陥が含まれるかは公表されていません。利用中の組織は版の確認と、管理画面をインターネットに公開していないかの点検を急いでください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
企業向けルーター DrayTek Vigor2960 の管理用 CGI に、ログインできる利用者が機器上で任意のコマンドを実行できてしまう欠陥が見つかり、悪用の手法がすでに公開されています。この機種は保守が限定的な製品(EoS)で、ベンダーは 1.5.1.7 で多くの問題を修正したと説明していますが、この欠陥が含まれるかは公表されていません。利用中の組織は版の確認と、管理画面をインターネットに公開していないかの点検を急いでください。
Original description The description as published by the source.
A vulnerability was detected in DrayTek Vigor2960 1.5.1.6 Revision 8218. Affected by this vulnerability is the function set_table of the file /cgi-bin/mainfunction.cgi of the component CGI Process. The manipulation of the argument sectiontype results in command injection. The attack may be launched remotely. The exploit is now public and may be used. The vendor explains: "2960 1.5.1.7 has corrected many security issues. And 2960 is EoS with limited support, only major issues would be reviewed(e.g. unauthenticated vuln.)". This vulnerability only affects products that are no longer supported by the maintainer.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com