DrayTek · Multiple Vigor Routers
CVE-2020-8515
Multiple DrayTek Vigor Routers Web Management Page Vulnerability
De quoi s'agit-il
DrayTek Vigor2960 1.3.1_Beta, Vigor3900 1.4.4_Beta, and Vigor300B 1.3.3_Beta, 1.4.2.1_Beta, and 1.4.4_Beta devices allow remote code execution as root (without authentication) via shell metacharacters to the cgi-bin/mainfunction.cgi URI. This issue has been fixed in Vigor3900/2960/300B v1.5.1.
CISA: DrayTek Vigor3900, Vigor2960, and Vigor300B routers contain an unspecified vulnerability that allows for remote code execution.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 3 mai 2022
- Ajoutée à la liste de la CISA
- 3 novembre 2021
- Publiée
- 1 février 2020
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- >99,9% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-78
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (3)
- https://sku11army.blogspot.com/2020/01/draytek-unauthenticated-rce-in-draytek.html
- https://www.draytek.com/about/security-advisory/vigor3900-/-vigor2960-/-vigor300b-router-web-management-page-…
- http://packetstormsecurity.com/files/156979/DrayTek-Vigor2960-Vigor3900-Vigor300B-Remote-Command-Execution.ht…
Autres failles exploitées chez DrayTek
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 30 sept. 2024 | OS Command Injection | Multiple Vigor Routers | Critique 9,8 | 84% |
| 15 mai 2025 | OS Command Injection | Vigor Routers | Moyenne 6,9 | 98% |
| 3 sept. 2024 | Path Traversal Vulnerability | VigorConnect | Élevé 7,5 | 90% |
| 3 sept. 2024 | Path Traversal Vulnerability | VigorConnect | Élevé 7,5 | 96% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.