CVE-2022-50994
Təsvir
DrayTek Vigor 2960-ın 1.5.1.4 versiyasından əvvəlki proqram təminatları CGI giriş idarəedicisində OS komanda inyeksiyası zəifliyinə malikdir ki, bu da autentifikasiya olunmamış uzaq hücumçulara formpassword parametrini shell meta simvolları ilə doldurmaq yolu ilə ixtiyari komandaları icra etməyə imkan verir. Hücumçular otp_check.sh skriptinə ötürülən təmizlənməmiş giriş məlumatlarından istifadə edərək veb server imtiyazları ilə uzaqdan kodun icrasını həyata keçirə bilərlər. Bu boşluğun istismarı üçün etibarlı istifadəçi adının bilinməsi və hədəf hesabda MOTP autentifikasiyasının aktiv olması tələb olunur.
Necə düzəltmək olar
- DrayTek Vigor 29601.5.1.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| DrayTek Vigor 2960 | v < 1.5.1.4 | 1.5.1.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.