CVE-2021-20124
Draytek VigorConnect Path Traversal Vulnerability
Beschreibung
CVE-2021-20124 ist eine kritische Local File Inclusion (LFI)-Schwachstelle in DrayTek VigorConnect Version 1.6.0-B3, die in der Datei-Download-Funktionalität des WebServlet-Endpunkts existiert. Ein nicht authentifizierter Angreifer kann die Schwachstelle ausnutzen, um beliebige Dateien vom Betriebssystem mit Root-Privilegien herunterzuladen. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 0.94059 (99.9. Perzentil) gehört sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Die Aufnahme in den CISA KEV-Katalog bestätigt die aktive Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| draytek | vigorconnect | 1.6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://www.tenable.com/security/research/tra-2021-42(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20124(US Government Resource)
Schwachstellentyp
Für CVE-2021-20124 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle gehört zur Kategorie Local File Inclusion (LFI) bzw. Path Traversal. Bei dieser Schwachstellenklasse kann ein Angreifer durch Manipulation von Dateipfad-Parametern auf Dateien zugreifen, die außerhalb des vorgesehenen Verzeichnisses liegen. Im Fall von DrayTek VigorConnect wird der WebServlet-Endpunkt für Datei-Downloads verwendet, ohne die angeforderten Dateipfade ausreichend zu validieren. Der Angreifer kann durch Directory-Traversal-Sequenzen wie "../" aus dem vorgesehenen Verzeichnis ausbrechen und auf beliebige Systemdateien zugreifen. Da der VigorConnect-Dienst mit Root-Privilegien läuft, kann der Angreifer jede Datei auf dem System lesen.
Auswirkungsanalyse
Die Ausnutzung von CVE-2021-20124 hat schwerwiegende Auswirkungen auf die Vertraulichkeit der betroffenen Systeme. Vertraulichkeit: Ein Angreifer kann sämtliche Dateien des Betriebssystems lesen, einschließlich /etc/shadow (Passwort-Hashes), private SSH-Schlüssel, Datenbankdateien, Konfigurationsdateien mit Klartext-Passwörtern und TLS/SSL-Zertifikate mit privaten Schlüsseln. Integrität: Obwohl die Schwachstelle primär Lesezugriff ermöglicht (I:N im CVSS), können die extrahierten Informationen für Folge-Angriffe genutzt werden, wie Credential-basierte Zugriffe auf andere Systeme. Verfügbarkeit: Keine direkte Auswirkung auf die Verfügbarkeit (A:N). Der EPSS-Score von 0.94059 (99.9. Perzentil) platziert diese Schwachstelle unter den am häufigsten ausgenutzten weltweit. DrayTek VigorConnect ist eine zentrale Verwaltungssoftware für DrayTek-Netzwerkgeräte. Die Kompromittierung dieses Systems gibt einem Angreifer potenziell Zugang zu Konfigurationsdaten und Zugangsinformationen für sämtliche verwalteten Netzwerkgeräte. Der Ransomware-Status ist als "Unknown" eingestuft.
Exploit-Reifegrad
CVE-2021-20124 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. September 2024. Der EPSS-Score von 0.94059 liegt im 99.9. Perzentil, was diese Schwachstelle zu den am wahrscheinlichsten ausgenutzten der Welt macht. Tenable hat einen detaillierten Security Research Report (TRA-2021-42) veröffentlicht, der als öffentlicher Exploit dient und die Ausnutzungsmethodik beschreibt. Die Schwachstelle ist besonders einfach ausnutzbar, da sie keine Authentifizierung erfordert und über eine einfache HTTP-Anfrage mit manipuliertem Pfad-Parameter ausgelöst werden kann. Der Ransomware-Status ist als "Unknown" klassifiziert, jedoch können die über LFI extrahierten Credentials und Konfigurationsdaten als Grundlage für umfassendere Angriffe einschließlich Ransomware dienen.
Behebung
-
DrayTek VigorConnect aktualisieren: Aktualisieren Sie DrayTek VigorConnect umgehend auf eine Version nach 1.6.0-B3, die den Patch für diese Schwachstelle enthält. Prüfen Sie die DrayTek-Support-Website für die neueste verfügbare Version und befolgen Sie die Update-Anweisungen.
-
Netzwerkzugriff einschränken: Stellen Sie sicher, dass der VigorConnect-Webserver nicht aus dem Internet erreichbar ist. Beschränken Sie den Zugriff auf den Management-Server auf vertrauenswürdige interne Netzwerke. Implementieren Sie Firewall-Regeln, die den Zugriff auf den VigorConnect-Port auf autorisierte Administrator-IP-Adressen begrenzen.
-
Kompromittierung prüfen: Analysieren Sie die Webserver-Logs von VigorConnect auf verdächtige Anfragen an den WebServlet-Endpunkt, insbesondere auf Anfragen mit Directory-Traversal-Sequenzen ("../") oder Zugriffe auf sensible Systemdateien. Wenn Kompromittierungsindikatoren gefunden werden, müssen alle auf dem System gespeicherten Credentials als kompromittiert behandelt werden.
-
Credentials rotieren: Ändern Sie alle Passwörter und Zugangsdaten, die auf dem VigorConnect-Server gespeichert oder konfiguriert waren, einschließlich Passwörter für verwaltete DrayTek-Geräte, Datenbank-Zugangsdaten und SSH-Schlüssel.
-
Monitoring implementieren: Richten Sie Intrusion-Detection-Regeln ein, die Anfragen mit Path-Traversal-Mustern an den VigorConnect-Server erkennen. Überwachen Sie den Webserver-Zugriff kontinuierlich und alertieren Sie bei ungewöhnlichen Dateizugriffs-Mustern.
Technische Details
Der CVSS v3.1-Vektor für CVE-2021-20124 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N mit einem Score von 7.5 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Angriffskomplexität (AC:L): Die Ausnutzung ist unkompliziert und erfordert nur eine HTTP-Anfrage. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung notwendig. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen beschränken sich auf die betroffene Komponente. Auswirkungen: Vollständige Beeinträchtigung der Vertraulichkeit (C:H), keine Auswirkung auf Integrität (I:N) oder Verfügbarkeit (A:N). Die Schwachstelle befindet sich im WebServlet-Endpunkt von DrayTek VigorConnect 1.6.0-B3, der eine Datei-Download-Funktionalität bereitstellt. Der Endpunkt akzeptiert einen Dateipfad-Parameter, validiert diesen jedoch nicht ausreichend gegen Directory-Traversal-Angriffe. Ein Angreifer kann durch Einfügen von "../"-Sequenzen in den Dateipfad-Parameter aus dem vorgesehenen Download-Verzeichnis ausbrechen und auf beliebige Systemdateien zugreifen. Da der VigorConnect-Dienst mit Root-Privilegien ausgeführt wird, kann der Angreifer jede Datei auf dem System lesen, einschließlich normalerweise geschützter Systemdateien wie /etc/shadow. Diese Schwachstelle ist eng verwandt mit CVE-2021-20123, die denselben Fehler im DownloadFileServlet-Endpunkt beschreibt.
Häufig gestellte Fragen
Was ist CVE-2021-20124?
CVE-2021-20124 ist eine Local File Inclusion-Schwachstelle in DrayTek VigorConnect 1.6.0-B3. Sie ermöglicht es einem nicht authentifizierten Angreifer, über den WebServlet-Endpunkt beliebige Dateien vom Server mit Root-Rechten herunterzuladen. Die Schwachstelle wird aktiv ausgenutzt und hat einen EPSS-Score im 99.9. Perzentil.
Was ist der Unterschied zwischen CVE-2021-20124 und CVE-2021-20123?
Beide Schwachstellen betreffen DrayTek VigorConnect 1.6.0-B3 und ermöglichen das Herunterladen beliebiger Dateien. Der Unterschied liegt im betroffenen Endpunkt: CVE-2021-20124 betrifft den WebServlet-Endpunkt, während CVE-2021-20123 den DownloadFileServlet-Endpunkt betrifft. Beide müssen gepatcht werden, da sie unabhängige Angriffsvektoren darstellen.
Welche Daten können durch die Schwachstelle gestohlen werden?
Da der VigorConnect-Dienst mit Root-Rechten läuft, kann ein Angreifer jede Datei auf dem System lesen. Besonders kritisch sind Passwort-Hashes aus /etc/shadow, private SSH-Schlüssel, Datenbank-Dateien mit Zugangsdaten für verwaltete Netzwerkgeräte und TLS-Zertifikate mit privaten Schlüsseln.
Ist mein VigorConnect-Server über das Internet erreichbar?
Viele VigorConnect-Installationen sind über das Internet erreichbar, um die Fernverwaltung von Netzwerkgeräten zu ermöglichen. Prüfen Sie Ihre Firewall-Konfiguration und schränken Sie den Zugriff auf den VigorConnect-Port auf vertrauenswürdige IP-Adressen ein.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.