PT-2021-8207
CVE-2021-20127
·
Publicado
2021-10-12
·
Atualizado
2021-10-19
Descrição por
CVSS 2.0
8.5
AltaMétricasAV:N/AC:L/Au:S/C:N/I:C/A:C
Nome do software vulnerável e versões afetadas
Draytek VigorConnect versão 1.6.0-B3
Descrição
O problema está relacionado à falta de controle de acesso no software para monitoramento, gerenciamento e configuração de pontos de acesso VigorAP e switches VigorSwitches na rede local. Existe uma vulnerabilidade de exclusão arbitrária de arquivos na funcionalidade de exclusão de arquivos do endpoint “Html5Servlet”. Isso permite que um usuário autenticado exclua arquivos em qualquer local do sistema operacional de destino com privilégios de root.
Recomendações
Para o Draytek VigorConnect versão 1.6.0-B3, considere desativar a funcionalidade de exclusão de arquivos do endpoint Html5Servlet até que uma correção esteja disponível para impedir a exclusão arbitrária de arquivos com privilégios de root. Restrinja o acesso ao endpoint Html5Servlet para minimizar o risco de exploração.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾