DrayTek opravil závažnú zraniteľnosť vo webovom rozhraní routerov Vigor

Spoločnosť DrayTek vydala bezpečnostné aktualizácie, ktoré opravujú vysoko závažnú zraniteľnosť viacerých routerov Vigor. CVE-2025-10547 možno zneužiť na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

  • Routery DrayTek Vigor1000B s firmvérom vo verzii staršej ako 4.4.3.6
  • Routery DrayTek Vigor2962, Vigor3910 a Vigor3912 s firmvérom vo verzii staršej ako 4.4.3.6 alebo 4.4.5.1
  • Routery DrayTek Vigor2135, Vigor2763, Vigor2765, Vigor2766, Vigor2865 Series, Vigor2865 LTE Series, Vigor2865L-5G Series, Vigor2866 Series, Vigor2866 LTE Series, Vigor2927 Series, Vigor2927 LTE Series a Vigor2927L-5G Series s firmvérom vo verzii staršej ako 4.5.1
  • Routery DrayTek Vigor2915 Series s firmvérom vo verzii staršej ako 4.4.6.1
  • Routery DrayTek Vigor2862 Series, Vigor2862 LTE Series, Vigor2926 Series a Vigor2926 LTE Series s firmvérom vo verzii staršej ako 3.9.9.12
  • Routery DrayTek Vigor2952, Vigor2952P a Vigor3220 s firmvérom vo verzii staršej ako 3.9.8.8
  • Routery DrayTek Vigor2860 Series, Vigor2860 LTE Series, Vigor2925 Series a Vigor2925 LTE Series s firmvérom vo verzii staršej ako 3.9.8.6
  • Routery DrayTek Vigor2133 Series, Vigor2762 Series aVigor2832 Series s firmvérom vo verzii staršej ako 3.9.9.4
  • Routery DrayTek Vigor2620 Series a VigorLTE 200n s firmvérom vo verzii staršej ako 3.9.9.5

Opis zraniteľnosti:

CVE-2025-10547 (CVSSv3.1 skóre 8,8)

Vysoko závažná zraniteľnosť CVE-2025-10547 sa nachádza vo webovom používateľskom rozhraní (WebUI) a vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvorených HTTP/HTTPS požiadaviek mohol zneužiť na poškodenie obsahu pamäte, zneprístupnenie služby a vzdialené vykonanie kódu. Chyba súvisí s neinicializovanou hodnotou na zásobníku a dovoľuje použiť funkciu free() na ľubovoľnom mieste pamäte.

Pozn.: Routery DrayTek Vigor sú rozšírené najmä v infraštruktúre malých a stredných podnikov a telekomunikačných operátorov.

Možné škody:

  • Zneprístupnenie služby (DoS)
  • Vzdialené vykonanie kódu
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu firmvéru Vigor routerov na verzie špecifikované výrobcom, ktoré môžete nájsť aj v časti „Zraniteľné systémy“ tohto varovania. Výrobca okrem aktualizácie systémov odporúča limitovať prístup k webovému rozhraniu len na dôveryhodné IP adresy. Používateľské a administrátorské rozhrania sieťových prvkov by nemali byť prevádzkované voľne prístupné z internetu.

Zdroje: