Descripción
Los routers DrayTek Vigor2960, Vigor300B y Vigor3900 contienen una vulnerabilidad de inyección de comandos del sistema operativo debido a una función desconocida del archivo /cgi-bin/mainfunction.cgi/apmcfgupload del componente de interfaz de administración web.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de fw.draytek.com.tw fw.draytek.com.tw/Vigor2960/Firmware/v1.5.1.5/DrayTek_Vigor2960_V1.5.…
- Aviso de fw.draytek.com.tw fw.draytek.com.tw/Vigor300B/Firmware/v1.5.1.5/DrayTek_Vigor300B_V1.5.…
- Aviso de fw.draytek.com.tw fw.draytek.com.tw/Vigor3900/Firmware/v1.5.1.5/DrayTek_Vigor3900_V1.5.…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2024-12987
Ver el texto original en inglés (CISA)
DrayTek Vigor Routers OS Command Injection Vulnerability
DrayTek Vigor2960, Vigor300B, and Vigor3900 routers contain an OS command injection vulnerability due to an unknown function of the file /cgi-bin/mainfunction.cgi/apmcfgupload of the component web management interface.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://fw.draytek.com.tw/Vigor2960/Firmware/v1.5.1.5/DrayTek_Vigor2960_V1.5.1.5_01release-note.pdf ; https://fw.draytek.com.tw/Vigor300B/Firmware/v1.5.1.5/DrayTek_Vigor300B_V1.5.1.5_01release-note.pdf ; https://fw.draytek.com.tw/Vigor3900/Firmware/v1.5.1.5/DrayTek_Vigor3900_V1.5.1.5_01release-note.pdf ; https://nvd.nist.gov/vuln/detail/CVE-2024-12987
Otras vulnerabilidades de DrayTek en el catálogo
- CVE-2020-15415 DrayTek Multiple Vigor Routers OS Command Injection Vulnerability Alta 30-09-2024
- CVE-2021-20124 Draytek VigorConnect Path Traversal Vulnerability Alta 03-09-2024
- CVE-2021-20123 Draytek VigorConnect Path Traversal Vulnerability Alta 03-09-2024
- CVE-2020-8515 Multiple DrayTek Vigor Routers Web Management Page Vulnerability Alta 03-11-2021