CVE-2020-8515
Multiple DrayTek Vigor Routers Web Management Page Vulnerability
Beschreibung
CVE-2020-8515 ist eine Schwachstelle mit dem Schweregrad CRITICAL für Remote Code Execution in mehreren DrayTek Vigor-Routermodellen, klassifiziert unter CWE-78 (Improper Neutralization of Special Elements used in an OS Command). Der Fehler ermöglicht nicht-authentifizierten entfernten Angreifern die Ausführung beliebiger Befehle als Root durch Einschleusung von Shell-Metazeichen in die URI cgi-bin/mainfunction.cgi der Web-Management-Oberfläche. Mit einem CVSS 3.1-Score von 9.8 bietet diese Schwachstelle vollständige Kontrolle über betroffene Router ohne jegliche Authentifizierung. Betroffene Geräte umfassen DrayTek Vigor2960 1.3.1_Beta, Vigor3900 1.4.4_Beta und Vigor300B in den Versionen 1.3.3_Beta, 1.4.2.1_Beta und 1.4.4_Beta. CISA hat CVE-2020-8515 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.94357 (99,96. Perzentil) weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| draytek | vigor2960 firmware | 1.3.1 |
| draytek | vigor300b firmware | 1.3.3; 1.4.2.1; 1.4.4 |
| draytek | vigor3900 firmware | 1.4.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156979/DrayTek-Vigor2960-Vigor3900-Vigor300B-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://sku11army.blogspot.com/2020/01/draytek-unauthenticated-rce-in-draytek.html(Permissions Required, Third Party Advisory)
- https://www.draytek.com/about/security-advisory/vigor3900-/-vigor2960-/-vigor300b-router-web-management-page-vulnerability-%28cve-2020-8515%29/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-8515(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
OS Command Injection tritt auf, wenn Software Betriebssystembefehle unter Verwendung extern bereitgestellter Eingaben konstruiert, ohne spezielle Elemente ordnungsgemäß zu neutralisieren, die den beabsichtigten Befehl modifizieren könnten. Wenn benutzerkontrollierte Daten direkt an eine System-Shell oder einen Befehlsinterpreter übergeben werden, können Angreifer zusätzliche Befehle durch Shell-Metazeichen wie Semikolons, Pipes, Backticks oder Befehlssubstitutionsoperatoren einschleusen.
Im Kontext von CVE-2020-8515 verarbeitet die Web-Management-Oberfläche der DrayTek Vigor-Router Benutzereingaben über den Endpunkt cgi-bin/mainfunction.cgi. Der CGI-Handler übergibt bestimmte Eingabeparameter direkt an Shell-Befehle, die auf dem Betriebssystem des Routers ausgeführt werden, ohne Shell-Metazeichen zu bereinigen. Da die Web-Management-Oberfläche mit Root-Privilegien auf dem Router läuft, werden eingeschleuste Befehle als Root ausgeführt, was dem Angreifer vollständige Kontrolle über das Gerät gibt. Dies ermöglicht die Modifikation von Router-Konfigurationen, das Abfangen von Netzwerkverkehr und die Installation persistenter Backdoors.
Mehr erfahren: CWE-78 — Improper Neutralization of Special Elements used in an OS Command
Auswirkungsanalyse
CVE-2020-8515 hat einen CVSS 3.1-Basisscore von 9.8 (CRITICAL) mit netzwerkbasierten Angriffscharakteristiken ohne Authentifizierungsanforderung.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung gewährt Root-Zugriff auf den Router und legt alle Gerätekonfigurationen offen, einschließlich VPN-Anmeldedaten, WLAN-Schlüssel, DHCP-Einstellungen, Firewall-Regeln und gespeicherte Benutzeranmeldedaten. Der Angreifer kann auch den gesamten Netzwerkverkehr überwachen und abfangen, der durch den Router fließt.
Integrität (Hoch): Mit Root-Zugriff kann der Angreifer jeden Aspekt der Router-Konfiguration modifizieren, einschließlich DNS-Einstellungen (für DNS-Hijacking), Firewall-Regeln, Routing-Tabellen und VPN-Konfigurationen. Der Angreifer kann auch die Router-Firmware modifizieren, um persistente Backdoors zu installieren, die Factory-Resets überleben.
Verfügbarkeit (Hoch): Der Angreifer kann den Router durch Korruption der Firmware, Modifikation kritischer Konfigurationen oder gezielte Ressourcenüberlastung unbrauchbar machen. Da DrayTek Vigor-Router als Netzwerk-Gateways für Unternehmen und Niederlassungen dienen, trennt eine Störung des Routers alle verbundenen Geräte und Dienste vom Netzwerk.
Scope (Unchanged): Obwohl der CVSS-Scope unverändert ist, erstreckt sich die praktische Auswirkung weit über den Router hinaus. Ein kompromittiertes Netzwerk-Gateway bietet dem Angreifer eine Man-in-the-Middle-Position. Der EPSS-Score von 0.94357 (99,96. Perzentil) platziert diese Schwachstelle in den Top 0,04% aller CVEs.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2020-8515 wird aktiv in freier Wildbahn ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen, mit einer verpflichtenden Behebungsfrist bis zum 3. Mai 2022. Mehrere Bedrohungsakteurgruppen wurden bei der Ausnutzung dieser Schwachstelle beobachtet.
Öffentliche Exploits: Ein vollständiger Exploit für Remote Command Execution auf DrayTek Vigor-Routern ist öffentlich auf Packet Storm Security verfügbar. Der Exploit demonstriert die Einschleusung von Shell-Metazeichen über die Web-Management-Oberfläche.
Weitverbreitete Zielerfassung: DrayTek Vigor-Router sind weit verbreitet in kleinen und mittleren Unternehmen, insbesondere in Europa und dem asiatisch-pazifischen Raum. Die Kombination aus internetexponierten Management-Oberflächen und nicht-authentifizierter Ausnutzung macht diese Geräte zu hochattraktiven Zielen für Botnet-Betreiber und APT-Gruppen.
EPSS-Kontext: Der EPSS-Score von 0.94357 (99,96. Perzentil) platziert diese Schwachstelle in den Top 0,04% aller CVEs. Dieser außergewöhnlich hohe Score spiegelt die triviale Ausnutzbarkeit, fehlende Authentifizierungsanforderung und weite Geräteverbreitung wider.
KEV-Frist: Bundesbehörden mussten bis zum 3. Mai 2022 Abhilfemaßnahmen ergreifen.
Behebung
-
DrayTek Vigor-Router-Firmware sofort auf Version 1.5.1 oder höher aktualisieren. DrayTek hat Firmware-Version 1.5.1 für Vigor3900, Vigor2960 und Vigor300B veröffentlicht. Von der DrayTek Sicherheitsempfehlung herunterladen.
-
Remote-Management-Zugriff sofort als Übergangsmaßnahme deaktivieren. Falls die Firmware nicht sofort aktualisiert werden kann, die Web-Management-Oberfläche für WAN-Zugriff deaktivieren. Management-Zugriff nur über das lokale Netzwerk oder VPN-Verbindungen erlauben.
-
Betroffene Router auf Kompromittierungsindikatoren prüfen. Router-Konfigurationen auf unautorisierte Änderungen überprüfen, einschließlich modifizierter DNS-Einstellungen, unerwarteter Firewall-Regeln, neuer VPN-Konten und unbekannter statischer Routen.
-
Router-Konfigurationen nach Firmware-Update zurücksetzen. Nach dem Firmware-Update einen Factory-Reset durchführen und den Router von Grund auf neu konfigurieren, anstatt ein möglicherweise kompromittiertes Konfigurations-Backup wiederherzustellen.
-
Netzwerksegmentierung hinter dem Router implementieren. Auch nach dem Patchen zusätzliche Netzwerksicherheitsebenen wie interne Firewalls, VLAN-Segmentierung und Intrusion-Detection-Systeme implementieren.
-
Firmware-Update-Prozess für Netzwerkgeräte etablieren. DrayTek Vigor-Router und ähnliche Netzwerk-Appliances benötigen regelmäßige Firmware-Updates. Einen Prozess zur Überwachung von Sicherheitshinweisen und zeitnahen Anwendung von Updates einrichten.
Technische Details
CVE-2020-8515 ist eine Pre-Authentication-Remote-Code-Execution-Schwachstelle in der Web-Management-Oberfläche mehrerer DrayTek Vigor-Routermodelle. Betroffen sind Vigor2960 Version 1.3.1_Beta, Vigor3900 Version 1.4.4_Beta und Vigor300B in den Versionen 1.3.3_Beta, 1.4.2.1_Beta und 1.4.4_Beta.
Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) reflektiert maximale Ausnutzbarkeitscharakteristiken: Der Angriff erfolgt über das Netzwerk, erfordert keine Authentifizierung, keine Benutzerinteraktion und hat niedrige Komplexität. Die hohe Auswirkung auf alle drei CIA-Dimensionen reflektiert die Root-Level-Befehlsausführung.
Die Schwachstelle existiert im Handler cgi-bin/mainfunction.cgi der Web-Management-Oberfläche des Routers. Dieser CGI-Endpunkt verarbeitet verschiedene Management-Funktionen und akzeptiert Benutzereingabeparameter. Der Handler konstruiert Betriebssystembefehle durch direkte Konkatenation benutzerdefinierter Werte in Shell-Befehlsstrings ohne ordnungsgemäße Bereinigung von Shell-Metazeichen.
Ein Angreifer kann Shell-Metazeichen wie Semikolons, Backticks oder Befehlssubstitutionsoperatoren (z.B. $(command)) in die verwundbaren Parameter einschleusen. Wenn der CGI-Handler die Anfrage verarbeitet, brechen die eingeschleusten Metazeichen aus dem beabsichtigten Befehlskontext aus und führen die beliebigen Befehle des Angreifers aus. Da die Web-Management-Oberfläche als Root auf dem eingebetteten Linux-Betriebssystem des Routers läuft, werden alle eingeschleusten Befehle mit vollen Root-Privilegien ausgeführt.
Der Angriff erfordert nur Netzwerkzugriff auf die Web-Management-Oberfläche des Routers, die häufig auf der WAN-Schnittstelle für Remote-Administration exponiert ist. DrayTek hat diese Schwachstelle in Firmware-Version 1.5.1 durch Implementierung ordnungsgemäßer Eingabebereinigung behoben.
Häufig gestellte Fragen
Wird CVE-2020-8515 aktiv ausgenutzt?
Ja, CVE-2020-8515 wird aktiv in freier Wildbahn ausgenutzt. CISA hat die Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen. Mehrere Bedrohungsakteurgruppen wurden bei der gezielten Ausnutzung von DrayTek Vigor-Routern beobachtet. Der EPSS-Score von 0.94357 (99,96. Perzentil) platziert sie in den Top 0,04% aller CVEs.
Welche Produkte sind von CVE-2020-8515 betroffen?
Folgende DrayTek Vigor-Routermodelle und Firmware-Versionen sind betroffen: Vigor2960 Version 1.3.1_Beta, Vigor3900 Version 1.4.4_Beta und Vigor300B in den Versionen 1.3.3_Beta, 1.4.2.1_Beta und 1.4.4_Beta. Dies sind Enterprise-VPN-Router, die häufig in kleinen und mittleren Unternehmen eingesetzt werden. Die Schwachstelle wurde in Firmware-Version 1.5.1 behoben.
Wie behebe ich CVE-2020-8515?
Aktualisieren Sie die Firmware der betroffenen DrayTek Vigor-Router auf Version 1.5.1 oder höher. Deaktivieren Sie als sofortige Übergangsmaßnahme den WAN-seitigen Zugriff auf die Web-Management-Oberfläche. Führen Sie nach dem Update einen Factory-Reset durch und konfigurieren Sie den Router von Grund auf neu. Prüfen Sie auf Kompromittierungsindikatoren einschließlich modifizierter DNS-Einstellungen und unautorisierter VPN-Konten.
Wie schwerwiegend ist CVE-2020-8515?
CVE-2020-8515 wird mit CRITICAL und dem maximalen CVSS-Score von 9.8 bewertet. Die Schwachstelle ermöglicht nicht-authentifizierten entfernten Angreifern die Ausführung beliebiger Befehle als Root auf betroffenen DrayTek Vigor-Routern. Dies gewährt vollständige Kontrolle über das Gerät und den gesamten durchfließenden Netzwerkverkehr. Der EPSS-Score von 0.94357 (99,96. Perzentil) bestätigt, dass dies zu den am aktivsten angegriffenen Schwachstellen gehört.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.