CVE-2021-20123
Draytek VigorConnect Path Traversal Vulnerability
Beschreibung
CVE-2021-20123 ist eine kritische Local File Inclusion (LFI)-Schwachstelle in DrayTek VigorConnect Version 1.6.0-B3, die in der Datei-Download-Funktionalität des DownloadFileServlet-Endpunkts existiert. Ein nicht authentifizierter Angreifer kann die Schwachstelle ausnutzen, um beliebige Dateien vom zugrunde liegenden Betriebssystem mit Root-Privilegien herunterzuladen. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 0.93989 (99.9. Perzentil) gehört sie zusammen mit der verwandten CVE-2021-20124 zu den am häufigsten ausgenutzten Schwachstellen. Die Aufnahme in den CISA KEV-Katalog bestätigt die aktive Ausnutzung in freier Wildbahn.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| draytek | vigorconnect | 1.6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://www.tenable.com/security/research/tra-2021-42(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20123(US Government Resource)
Schwachstellentyp
Für CVE-2021-20123 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle gehört zur Kategorie Local File Inclusion (LFI) bzw. Path Traversal. Bei dieser Klasse von Schwachstellen werden Dateipfad-Parameter nicht ausreichend validiert, sodass ein Angreifer durch Manipulation des Pfads auf Dateien außerhalb des vorgesehenen Verzeichnisses zugreifen kann. Im Fall von DrayTek VigorConnect betrifft die Schwachstelle den DownloadFileServlet-Endpunkt, der für den Download von Dateien vorgesehen ist. Durch Einfügen von Directory-Traversal-Sequenzen wie "../" kann der Angreifer aus dem vorgesehenen Verzeichnis ausbrechen und auf beliebige Systemdateien zugreifen. Da der VigorConnect-Dienst mit Root-Privilegien ausgeführt wird, gibt es keine dateisystembasierte Zugriffsbeschränkung.
Auswirkungsanalyse
Die Ausnutzung von CVE-2021-20123 hat erhebliche Auswirkungen auf die Vertraulichkeit des betroffenen Systems und aller darüber verwalteten Netzwerkgeräte. Vertraulichkeit: Der Angreifer kann sämtliche Dateien des Betriebssystems lesen, einschließlich Passwort-Hashes (/etc/shadow), private SSH- und TLS-Schlüssel, Datenbank-Dateien mit Zugangsdaten für verwaltete DrayTek-Geräte und Konfigurationsdateien mit Klartext-Passwörtern. Integrität: Die Schwachstelle selbst ermöglicht keinen Schreibzugriff (I:N), jedoch können die extrahierten Credentials für Folgeangriffe mit Schreibzugriff genutzt werden. Verfügbarkeit: Keine direkte Auswirkung (A:N). Der EPSS-Score von 0.93989 (99.9. Perzentil) bestätigt, dass diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten weltweit gehört. DrayTek VigorConnect dient als zentrale Management-Plattform für DrayTek-Router und Netzwerkgeräte. Die Kompromittierung gibt dem Angreifer potenziell Zugriff auf Konfigurationsdaten und Zugangsinformationen des gesamten verwalteten Netzwerks. Der Ransomware-Status ist als "Unknown" eingestuft.
Exploit-Reifegrad
CVE-2021-20123 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. September 2024. Der EPSS-Score von 0.93989 liegt im 99.9. Perzentil. Tenable hat einen detaillierten Security Research Report (TRA-2021-42) veröffentlicht, der beide verwandten Schwachstellen (CVE-2021-20123 und CVE-2021-20124) beschreibt und als öffentlicher Exploit dient. Die Ausnutzung ist technisch trivial: Eine einzige HTTP-GET-Anfrage mit einem manipulierten Dateipfad-Parameter an den DownloadFileServlet-Endpunkt genügt, um beliebige Dateien herunterzuladen. Keine Authentifizierung, keine speziellen Tools und keine komplexe Exploit-Entwicklung erforderlich. Der Ransomware-Status ist als "Unknown" klassifiziert, allerdings ermöglichen die über LFI extrahierten Zugangsdaten weitergehende Angriffe auf das verwaltete Netzwerk.
Behebung
-
DrayTek VigorConnect aktualisieren: Aktualisieren Sie DrayTek VigorConnect umgehend auf eine Version nach 1.6.0-B3. Beachten Sie, dass sowohl der DownloadFileServlet- (CVE-2021-20123) als auch der WebServlet-Endpunkt (CVE-2021-20124) gepatcht werden müssen. Prüfen Sie die DrayTek-Support-Website für die neueste verfügbare Version.
-
Netzwerkzugriff sofort einschränken: Beschränken Sie den Zugriff auf den VigorConnect-Webserver auf vertrauenswürdige interne Netzwerke. Deaktivieren Sie den Zugriff aus dem Internet vollständig. Implementieren Sie Firewall-Regeln, die nur autorisierten Administrator-IP-Adressen den Zugriff auf den VigorConnect-Port erlauben.
-
Kompromittierung untersuchen: Analysieren Sie die Webserver-Logs auf verdächtige Anfragen an den DownloadFileServlet-Endpunkt. Suchen Sie nach Anfragen mit Directory-Traversal-Mustern ("../") und Zugriffen auf sensible Dateipfade wie /etc/shadow, /etc/passwd oder Schlüsseldateien. Bei Kompromittierungsverdacht müssen alle gespeicherten Credentials als kompromittiert behandelt werden.
-
Alle Zugangsdaten rotieren: Ändern Sie sämtliche Passwörter und Zugangsdaten, die auf dem VigorConnect-Server gespeichert waren, einschließlich Verwaltungs-Credentials für DrayTek-Router, Datenbank-Passwörter, SSH-Schlüssel und VPN-Zugangsdaten für verwaltete Geräte.
-
Verwaltete Geräte überprüfen: Da VigorConnect zur Verwaltung von DrayTek-Netzwerkgeräten dient, sollten alle verwalteten Router und Switches auf unautorisierte Konfigurationsänderungen überprüft werden. Aktualisieren Sie die Firmware aller verwalteten Geräte und ändern Sie deren Zugangsdaten.
Technische Details
Der CVSS v3.1-Vektor für CVE-2021-20123 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N mit einem Score von 7.5 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, was besonders kritisch ist, wenn VigorConnect aus dem Internet erreichbar ist. Angriffskomplexität (AC:L): Die Ausnutzung erfordert nur eine einfache HTTP-Anfrage. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung notwendig. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen: Vollständige Beeinträchtigung der Vertraulichkeit (C:H), keine Auswirkung auf Integrität (I:N) oder Verfügbarkeit (A:N). Die Schwachstelle liegt im DownloadFileServlet-Endpunkt von DrayTek VigorConnect 1.6.0-B3. Dieser Endpunkt stellt eine Datei-Download-Funktionalität bereit, die einen Dateipfad als Parameter akzeptiert. Der Endpunkt validiert den angeforderten Pfad nicht gegen Directory-Traversal-Angriffe. Ein Angreifer kann durch eine HTTP-GET-Anfrage mit manipuliertem Pfad-Parameter, der "../"-Sequenzen enthält, aus dem vorgesehenen Verzeichnis ausbrechen. Da der VigorConnect-Dienst mit Root-Privilegien läuft, kann der Angreifer jede Datei auf dem System lesen. Diese Schwachstelle ist eng verwandt mit CVE-2021-20124, die denselben Fehler im WebServlet-Endpunkt beschreibt.
Häufig gestellte Fragen
Was ist CVE-2021-20123?
CVE-2021-20123 ist eine Local File Inclusion-Schwachstelle in DrayTek VigorConnect 1.6.0-B3. Sie ermöglicht es einem nicht authentifizierten Angreifer, über den DownloadFileServlet-Endpunkt beliebige Dateien vom Server mit Root-Rechten herunterzuladen. Die Schwachstelle wird aktiv ausgenutzt und hat einen EPSS-Score im 99.9. Perzentil.
Was ist der Zusammenhang zwischen CVE-2021-20123 und CVE-2021-20124?
Beide Schwachstellen betreffen DrayTek VigorConnect 1.6.0-B3 und ermöglichen das gleiche Angriffsmuster: das Herunterladen beliebiger Dateien ohne Authentifizierung. CVE-2021-20123 betrifft den DownloadFileServlet-Endpunkt, CVE-2021-20124 den WebServlet-Endpunkt. Beide wurden von Tenable im selben Research Report (TRA-2021-42) dokumentiert und müssen unabhängig voneinander gepatcht werden.
Wie einfach ist die Ausnutzung?
Die Ausnutzung ist extrem einfach. Ein Angreifer benötigt lediglich einen Webbrowser oder ein Tool wie curl, um eine HTTP-Anfrage mit einem manipulierten Dateipfad an den Server zu senden. Keine Authentifizierung, keine speziellen Tools und keine Exploit-Entwicklung sind erforderlich.
Warum ist eine "nur Lese"-Schwachstelle so gefährlich?
Obwohl die Schwachstelle nur Lesezugriff ermöglicht, können die extrahierten Informationen katastrophale Folgen haben. Passwort-Hashes, SSH-Schlüssel und Konfigurationsdaten für verwaltete Netzwerkgeräte ermöglichen dem Angreifer den vollständigen Zugriff auf das Netzwerk. Bei einer zentralen Management-Plattform wie VigorConnect kompromittiert der Diebstahl der Zugangsdaten potenziell alle verwalteten Geräte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.