Lỗ hổng RCE nghiêm trọng cho phép tin tặc giành toàn quyền kiểm soát Router DrayTek Vigor

29 mẫu router (bộ định tuyến) khác nhau từ DrayTek bị ảnh hưởng bởi một lỗ hổng nghiêm trọng cho phép thực thi mã từ xa mà không cần xác thực, nếu khai thác thành công, có thể dẫn đến xâm phạm hoàn toàn thiết bị và truy cập trái phép vào mạng của nạn nhân.

Nhà nghiên cứu Philippe Laulheret của Trellix cho biết: “Cuộc tấn công có thể được thực hiện mà không cần sự tương tác của người dùng nếu giao diện quản lý của thiết bị được cấu hình kết nối ra internet”. "Một tấn công one-click cũng có thể xảy ra từ bên trong mạng LAN trong cấu hình thiết bị mặc định."

Có định danh CVE-2022-32548, lỗ hổng được xếp ở mức nghiêm trọng với điểm CVSS 10 trên thang 10, có thể cho phép kẻ tấn công chiếm toàn quyền kiểm soát các bộ định tuyến.

Về bản chất, lỗ hổng liên quan đến lỗi tràn bộ đệm trong giao diện quản lý web ("/cgi-bin/wlogin.cgi"), có thể được kích hoạt bằng cách gửi lên dữ liệu độc hại.

Hơn 200.000 thiết bị của DrayTek được cho là bị ảnh hưởng bởi lỗ hổng đang đặt công khai trên internet có thể bị khai thác mà không cần sự tương tác của người dùng. Nhiều thiết bị trong số 500.000 thiết đã được cách ly khỏi internet vẫn có thể bị tấn công one-click.

Việc xâm phạm một thiết bị mạng như Vigor 3910 có thể khiến mạng đó tiềm ẩn các rủi ro như đánh cắp thông tin xác thực và tài sản trí tuệ, nhiễm botnet hoặc ransomware, tấn công từ chối dịch vụ (DoS).

Tiết lộ được đưa ra hơn một tháng sau khi có thông tin các bộ định tuyến của ASUS, Cisco, DrayTek và NETGEAR đang bị tấn công bởi một mã độc mới có tên ZuoRAT nhắm vào các mạng ở Bắc Mỹ và Châu Âu.

Mặc dù không có dấu hiệu nào cho thấy lỗ hổng đã/đang bị khai thác trong thực tế, nhưng bạn vẫn nên áp dụng các bản vá firmware càng sớm càng tốt để giảm thiểu các mối đe dọa tiềm ẩn.

Laulheret lưu ý rằng: “Các thiết bị Edge, như bộ định tuyến Vigor 3910, ở ranh giới giữa mạng bên trong và bên ngoài là mục tiêu chính của tội phạm mạng. Việc xâm phạm các thiết bị này có thể dẫn đến toàn bộ mạng nội bộ của tổ chức bị xâm phạm".

Nguồn: thehackernews.com.