Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2021-20124

Draytek VigorConnect WebServlet uç noktasında kimlik doğrulamasız dosya okuma açığı

Draytek VigorConnect

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1841 gün
Kaydı açan
tenable
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Eyl 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Eyl 2024.

ÖzetTürkçe

Draytek VigorConnect 1.6.0-B3 sürümünde, WebServlet uç noktasının dosya indirme işlevinde yerel dosya ekleme (local file inclusion) açığı bulunmaktadır. Kimlik doğrulaması yapmayan bir saldırgan, bu açığı kullanarak altta yatan işletim sistemindeki rastgele dosyaları root yetkisiyle indirebilir.

Kaynaktaki açıklama (İngilizce)

A local file inclusion vulnerability exists in Draytek VigorConnect 1.6.0-B3 in the file download functionality of the WebServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Draytek VigorConnect 1.6.0-B3 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.