Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2021-20123

Draytek VigorConnect'te DownloadFileServlet uçnoktasında dosya yolu geçişi açığı

Draytek VigorConnect

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1841 gün
Kaydı açan
tenable
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Eyl 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Eyl 2024.

ÖzetTürkçe

Draytek VigorConnect 1.6.0-B3 sürümünde, DownloadFileServlet uç noktasının dosya indirme işlevinde yerel dosya ekleme (local file inclusion) açığı bulunmaktadır. Kimlik doğrulaması yapılmamış bir saldırgan, bu açığı kullanarak işletim sistemindeki rastgele dosyaları root yetkileriyle indirebilir.

Kaynaktaki açıklama (İngilizce)

A local file inclusion vulnerability exists in Draytek VigorConnect 1.6.0-B3 in the file download functionality of the DownloadFileServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Draytek VigorConnect 1.6.0-B3 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.