Vulnérabilité d’exécution de code à distance non authentifiée par les routeurs DrayTek (CVE-2022-32548)
22 avril 2024
En avril 2022, nous avons été informés d&rsquo ;une possible vulnérabilité affectant certains de nos produits lors des tests internes. Aucune exploitation de cette vulnérabilité n&rsquo ;a été signalée dans la nature jusqu&rsquo ;à présent. Nous avons réagi en commençant à déployer des mises à jour du firmware dès mai 2022.
Nous vous recommandons vivement de maintenir votre firmware à jour. Veuillez vérifier dans le tableau ci-dessous si votre modèle est concerné et exécute au moins la version minimale du firmware indiquée. Si votre modèle n&rsquo ;n'est pas répertorié, il n&rsquo ;n'est pas vulnérable à cette faille.
Dans le but de protéger nos utilisateurs jusqu&rsquo ;à ce que toutes les mises à jour du firmware soient disponibles et pour leur laisser le temps de les installer, nous avons décidé de ne pas divulguer plus d&rsquo ;informations sur la vulnérabilité à ce stade. Cependant, la vulnérabilité a maintenant été officiellement répertoriée sous l&rsquo ;identifiant CVE-2022-32548 et est liée à une possible exploitation de la page de connexion de l&rsquo ;interface utilisateur Web du routeur.
Si vous n’n'avez pas encore mis à jour votre firmware, nous vous recommandons de le faire immédiatement. Avant de procéder à la mise à jour, veuillez sauvegarder votre configuration actuelle au cas où vous auriez besoin de la restaurer ultérieurement (maintenance du système -> ; Sauvegarde de configuration). Assurez-vous d&rsquo ;utiliser TOUS les fichiers nécessaires pour la mise à jour, sinon vous risquez de perdre vos paramètres. Si vous mettez à jour depuis une version très ancienne du firmware, veuillez lire attentivement les notes de mise à jour pour toute instruction spécifique.
Si vous avez activé l&rsquo ;accès à distance sur votre routeur, nous vous recommandons de le désactiver si vous n&rsquo ;n'en avez pas besoin. Si votre appareil n&rsquo ;n'exécute pas encore une version patchée du firmware (voir tableau ci-dessous), désactivez l&rsquo ;accès à distance (admin) et le VPN SSL. Gardez à l&rsquo ;esprit que l&rsquo ;ACL ne s&rsquo ;applique pas aux connexions VPN SSL (Port 443), donc vous devrez également désactiver temporairement le VPN SSL jusqu&rsquo ;à ce que vous ayez mis à jour le firmware.
Les nouveaux firmwares DrayTek comportant des mises à jour de sécurité pour cette vulnérabilité sont disponibles comme suit :
| Modèle affecté | Version fixe du micrologiciel |
|
Vigor3910 |
4.3.1.1 |
| Série Vigor2962 | 4.3.1.1 |
| Série Vigor2927 | 4.0 |
| Série Vigor2927 LTE | 4.0 |
| Série Vigor2915 | 4.3.32 |
| Série Vigor2866 | 4.0 |
| Série Vigor2866 LTE | 4.0 |
| Série Vigor2865 | 4.0 |
| Série Vigor2865 LTE | 4.0 |
| Série Vigor2862 | 3.9.8.1 |
| Série Vigor2862 LTE | 3.9.8.1 |
| Vigor2832 | 3.9.6.1 |
| Série Vigor2766 | 4.4.2 |
| Série Vigor2765 | 4.4.2 |
| Série Vigor2762 | 3.9.6.4 |
| Série Vigor2620 LTE | 3.9.8.1 |
| VigorLTE 200n | 3.9.8.1 |
| Série Vigor2135 | 4.4.2 |
| Vigor1000B | 4.3.1.1 |
| Vigor166 | 4.2.4 |
| Vigor165 | 4.2.4 |
| Série Vigor3220 | 3.9.7.2 |
| Vigor2952/2952P | 3.9.7.2 |
| Série Vigor2926 | 3.9.8.1 |
| Série Vigor2926 LTE | 3.9.8.1 |
| Vigor2912 | 3.8.15 |
| Série Vigor2133 | 3.9.6.4 |