Draytek, maksimum CVSS puanını 10 alan uzaktan kod yürütme kusuru da dahil olmak üzere, değişen şiddette 14 güvenlik açıklarını ele almak için birden fazla yönlendirici modeli için güvenlik güncellemeleri yayınladı.
Araştırma-Vedere Labs'ın keşfettiği kusurlar, hem aktif olarak desteklenen hem de ömrünün sonuna ulaşan modelleri etkiliyor. Bununla birlikte, şiddet nedeniyle Draytek, her iki kategorideki yönlendiriciler için düzeltmeler sağlamıştır.
Araştırmacılar, taramalarının yaklaşık 785.000 Draytek yönlendiricisinin yeni keşfedilen kusurlara karşı savunmasız olabileceğini ve 704.500'ün üzerinde web arayüzünün internete maruz kaldığı konusunda uyardı.
Vedere laboratuvarları tarafından keşfedilen güvenlik açıklarının çoğu, çeşitli sömürü gereksinimleri ile dikte edilen orta yüzlü tampon taşma ve siteler arası komut dosyası sorunlarıdır.
Bununla birlikte, kusurların beşi hemen dikkat gerektiren önemli riskler taşır. Bunlar aşağıdaki gibi özetlenmiştir:
Henüz, bu kusurların aktif olarak kullanılması hakkında hiçbir rapor bulunmamıştır ve analitik detayların yayınlanması, kullanıcıların güvenlik güncellemelerini uygulamak için yeterli zamana izin vermek için saklanmıştır.
Yukarıdaki kusurlar, 11'i yaşamın sonuna ulaşan ancak yine de düzeltmeler alan 24 yönlendirici modelini etkiler.
Etkilenen modeller ve hedef ürün yazılımı sürümleri aşağıdaki tabloda görülebilir.
Kullanıcılar, Draytek'in resmi indirme portalından cihaz modeli için en son ürün yazılımını indirebilir.
Verderere Labs, 704.500'den fazla cihazın İnternet'e maruz kalan Draytek Vigor Web kullanıcı arayüzüne sahip olduğunu, ancak yalnızca yerel bir ağdan erişilebilir olması gerektiğini bildiriyor.
Forescout'un doğrudan görünürlüğü altındaki cihazların neredeyse yarısı Amerika Birleşik Devletleri'nde yer almaktadır, ancak Shodan sonuçları Birleşik Krallık, Vietnam, Hollanda ve Avustralya'da önemli sayılar göstermektedir.
En son ürün yazılımı güncellemelerini uygulamanın yanı sıra, kullanıcıların aşağıdaki işlemleri gerçekleştirmeleri önerilir:
Tüm Draytek kullanıcıları, istismarlar ve kaba kuvvet saldırıları genellikle bu hizmetleri hedefledikçe cihazlarının uzaktan erişim konsolunun devre dışı olduğunu onaylamalıdır.
Zyxel, yönlendiricilerde kritik OS komut enjeksiyon kusurunu uyarıyor
D-Link, WiFi 6 yönlendiricilerindeki kritik RCE, sert kodlanmış şifre kusurlarını düzeltir
Flipper Zero, üç yıllık geliştirmeden sonra ürün yazılımı 1.0 yayınladı
D-Link, DIR-846W yönlendiricilerinde dört RCE kusurunu düzeltmediğini söylüyor
Cisco, hayatın sonunda kritik RCE sıfır günlerini uyarıyor IP telefonları
Kaynak: Bleeping Computer