← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités DrayTek activement exploitées (KEV)

Les 5 vulnérabilités DrayTek dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2024-12987 — DrayTek, Vigor Routers : injection de commandes système

  • Produit : DrayTek Vigor Routers
  • Ajoutée au catalogue : 15 mai 2025
  • Échéance CISA : 5 juin 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 6,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 98 %
  • Technologie : Routeurs et box (D-Link, TP-Link, Netgear…)

Les routeurs DrayTek Vigor2960, Vigor300B et Vigor3900 contiennent une vulnérabilité d'injection de commandes système due à une fonction inconnue du fichier /cgi-bin/mainfunction.cgi/apmcfgupload du composant interface de gestion web.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fw.draytek.com.tw · fw.draytek.com.tw · fw.draytek.com.tw

CVE-2020-15415 — DrayTek, plusieurs produits : injection de commandes système

  • Produit : DrayTek Multiple Vigor Routers
  • Ajoutée au catalogue : 30 septembre 2024
  • Échéance CISA : 21 octobre 2024
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 84 %
  • Technologie : Routeurs et box (D-Link, TP-Link, Netgear…)

Les appareils DrayTek Vigor3900, Vigor2960 et Vigor300B contiennent une vulnérabilité d'injection de commandes système dans cgi-bin/mainfunction.cgi/cvmcfgupload qui permet une exécution de code à distance via des métacaractères de shell dans un nom de fichier lorsque le type de contenu text/x-python-script est utilisé.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · draytek.com

CVE-2021-20124 — Draytek VigorConnect Path Traversal Vulnerability

  • Produit : DrayTek VigorConnect
  • Ajoutée au catalogue : 3 septembre 2024
  • Échéance CISA : 24 septembre 2024
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 96 %
  • Technologie : Routeurs et box (D-Link, TP-Link, Netgear…)

Draytek VigorConnect contains a path traversal vulnerability in the file download functionality of the WebServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.

Action requise : Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA · draytek.com

CVE-2021-20123 — Draytek VigorConnect Path Traversal Vulnerability

  • Produit : DrayTek VigorConnect
  • Ajoutée au catalogue : 3 septembre 2024
  • Échéance CISA : 24 septembre 2024
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 90 %
  • Technologie : Routeurs et box (D-Link, TP-Link, Netgear…)

Draytek VigorConnect contains a path traversal vulnerability in the DownloadFileServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.

Action requise : Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA · draytek.com

CVE-2020-8515 — DrayTek, plusieurs produits : vulnérabilité de la page de gestion web

  • Produit : DrayTek Multiple Vigor Routers
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 3 mai 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Routeurs et box (D-Link, TP-Link, Netgear…)

Les routeurs DrayTek Vigor3900, Vigor2960 et Vigor300B contiennent une vulnérabilité non spécifiée qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)