PT-2021-8205
CVE-2021-43118
·
Publicado
2021-07-21
·
Atualizado
2024-12-10
Descrição por
CVSS 3.1
10
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
DrayTek Vigor 2960 versão 1.5.1.3
DrayTek Vigor 3900 versão 1.5.1.3
DrayTek Vigor 300B versão 1.5.1.3
Descrição
Existe uma vulnerabilidade de injeção remota de comando no script mainfunction.cgi da interface web do DrayTek Vigor devido à sanitização inadequada de dados no nível de gerenciamento. Isso poderia permitir que um invasor remoto executasse código arbitrário enviando uma mensagem HTTP maliciosa com uma QUERY STRING malformada para o endpoint mainfunction.cgi.
Recomendações
Para o DrayTek Vigor 2960 versão 1.5.1.3, considere desativar o script mainfunction.cgi até que um patch esteja disponível.
Para o DrayTek Vigor 3900 versão 1.5.1.3, restrinja o acesso ao endpoint mainfunction.cgi para minimizar o risco de exploração.
Para o DrayTek Vigor 300B versão 1.5.1.3, evite usar o parâmetro QUERY STRING no endpoint mainfunction.cgi até que o problema seja resolvido.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾