CVE-2022-32548-RCE-POC

Vulnerabilidad de ejecución remota de código no autenticada en DrayTek (CVE-2022-32548) en /cgi-bin/wlogin.cgi mediante el campo de nombre de usuario

Detalles técnicos

La interfaz de administración web de los dispositivos DrayTek vulnerables está afectada por un desbordamiento de búfer en la página de inicio de sesión en /cgi-bin/wlogin.cgi. Un atacante puede proporcionar un nombre de usuario y/o contraseña cuidadosamente elaborados como cadenas codificadas en base64 dentro de los campos aa y ab de la página de inicio de sesión.

Detalles:

RCE no autenticado completamente encadenado escrito en Python con capacidad de múltiples objetivos (lista de IPs) y subprocesos (para comprobar listas enormes de IPs más rápido). El script guarda el resultado en un archivo separado (vulns.txt) para uso futuro. Esta subida incluye una gran lista de servidores de Shodan.

dorks:

shodan (fuente: Shodan)

Dispositivos vulnerables

Los dispositivos vulnerables son los siguientes:

• Vigor3910 < 4.3.1.1
• Vigor1000B < 4.3.1.1
• Vigor2962 Series < 4.3.1.1
• Vigor2927 Series < 4.4.0
• Vigor2927 LTE Series < 4.4.0
• Vigor2915 Series < 4.3.3.2
• Vigor2952 / 2952P < 3.9.7.2
• Vigor3220 Series < 3.9.7.2
• Vigor2926 Series < 3.9.8.1
• Vigor2926 LTE Series < 3.9.8.1
• Vigor2862 Series < 3.9.8.1
• Vigor2862 LTE Series < 3.9.8.1
• Vigor2620 LTE Series < 3.9.8.1
• VigorLTE 200n < 3.9.8.1
• Vigor2133 Series < 3.9.6.4
• Vigor2762 Series < 3.9.6.4
• Vigor165 < 4.2.4
• Vigor166 < 4.2.4
• Vigor2135 Series < 4.4.2
• Vigor2765 Series < 4.4.2
• Vigor2766 Series < 4.4.2
• Vigor2832 < 3.9.6
• Vigor2865 Series < 4.4.0
• Vigor2865 LTE Series < 4.4.0
• Vigor2866 Series < 4.4.0
• Vigor2866 LTE Series < 4.4.0