CVE-2022-32548-RCE-POC

Vulnérabilité d'exécution de code à distance non authentifiée DrayTek (CVE-2022-32548) dans /cgi-bin/wlogin.cgi via le champ nom d'utilisateur

Détails techniques

L'interface de gestion web des périphériques DrayTek vulnérables est affectée par un débordement de tampon sur la page de connexion à /cgi-bin/wlogin.cgi. Un attaquant peut fournir un nom d'utilisateur et/ou un mot de passe soigneusement élaborés, encodés en base64, dans les champs aa et ab de la page de connexion.

détails :

Un RCE non authentifié complet et chaîné écrit en Python avec une capacité multi-cibles (liste d'adresses IP) et du threading (pour vérifier plus rapidement d'énormes listes d'adresses IP). Le script enregistre le résultat dans un fichier séparé (vulns.txt) pour une utilisation ultérieure. Cet upload est livré avec une énorme liste de serveurs provenant de Shodan.

dorks :

shodan (src: Shodan)

Périphériques vulnérables

Les périphériques vulnérables sont les suivants :

• Vigor3910 < 4.3.1.1
• Vigor1000B < 4.3.1.1
• Vigor2962 Series < 4.3.1.1
• Vigor2927 Series < 4.4.0
• Vigor2927 LTE Series < 4.4.0
• Vigor2915 Series < 4.3.3.2
• Vigor2952 / 2952P < 3.9.7.2
• Vigor3220 Series < 3.9.7.2
• Vigor2926 Series < 3.9.8.1
• Vigor2926 LTE Series < 3.9.8.1
• Vigor2862 Series < 3.9.8.1
• Vigor2862 LTE Series < 3.9.8.1
• Vigor2620 LTE Series < 3.9.8.1
• VigorLTE 200n < 3.9.8.1
• Vigor2133 Series < 3.9.6.4
• Vigor2762 Series < 3.9.6.4
• Vigor165 < 4.2.4
• Vigor166 < 4.2.4
• Vigor2135 Series < 4.4.2
• Vigor2765 Series < 4.4.2
• Vigor2766 Series < 4.4.2
• Vigor2832 < 3.9.6
• Vigor2865 Series < 4.4.0
• Vigor2865 LTE Series < 4.4.0
• Vigor2866 Series < 4.4.0
• Vigor2866 LTE Series < 4.4.0