En avril 2022, nous avons été informés d’une possible vulnérabilité affectant certains de nos produits lors des tests internes. Aucune exploitation de cette vulnérabilité n’a été signalée dans la nature jusqu’à présent. Nous avons réagi en commençant à déployer des mises à jour du firmware dès mai 2022.
Nous vous recommandons vivement de maintenir votre firmware à jour. Veuillez vérifier dans le tableau ci-dessous si votre modèle est concerné et exécute au moins la version minimale du firmware indiquée. Si votre modèle n’est pas répertorié, il n’est pas vulnérable à cette faille.
Dans le but de protéger nos utilisateurs jusqu’à ce que toutes les mises à jour du firmware soient disponibles et pour leur laisser le temps de les installer, nous avons décidé de ne pas divulguer plus d’informations sur la vulnérabilité à ce stade. Cependant, la vulnérabilité a maintenant été officiellement répertoriée sous l’identifiant CVE-2022-32548 et est liée à une possible exploitation de la page de connexion de l’interface utilisateur Web du routeur.
Si vous n’avez pas encore mis à jour votre firmware, nous vous recommandons de le faire immédiatement. Avant de procéder à la mise à jour, veuillez sauvegarder votre configuration actuelle au cas où vous auriez besoin de la restaurer ultérieurement (maintenance du système -> Sauvegarde de configuration). Assurez-vous d’utiliser TOUS les fichiers nécessaires pour la mise à jour, sinon vous risquez de perdre vos paramètres. Si vous mettez à jour depuis une version très ancienne du firmware, veuillez lire attentivement les notes de mise à jour pour toute instruction spécifique.
Si vous avez activé l’accès à distance sur votre routeur, nous vous recommandons de le désactiver si vous n’en avez pas besoin. Si votre appareil n’exécute pas encore une version patchée du firmware (voir tableau ci-dessous), désactivez l’accès à distance (admin) et le VPN SSL. Gardez à l’esprit que l’ACL ne s’applique pas aux connexions VPN SSL (Port 443), donc vous devrez également désactiver temporairement le VPN SSL jusqu’à ce que vous ayez mis à jour le firmware.
Les nouveaux firmwares DrayTek comportant des mises à jour de sécurité pour cette vulnérabilité sont disponibles comme suit :
| Modèle affecté | Version fixe du micrologiciel |
|
Vigor3910 |
4.3.1.1 |
| Série Vigor2962 | 4.3.1.1 |
| Série Vigor2927 | 4.0 |
| Série Vigor2927 LTE | 4.0 |
| Série Vigor2915 | 4.3.32 |
| Série Vigor2866 | 4.0 |
| Série Vigor2866 LTE | 4.0 |
| Série Vigor2865 | 4.0 |
| Série Vigor2865 LTE | 4.0 |
| Série Vigor2862 | 3.9.8.1 |
| Série Vigor2862 LTE | 3.9.8.1 |
| Vigor2832 | 3.9.6.1 |
| Série Vigor2766 | 4.4.2 |
| Série Vigor2765 | 4.4.2 |
| Série Vigor2762 | 3.9.6.4 |
| Série Vigor2620 LTE | 3.9.8.1 |
| VigorLTE 200n | 3.9.8.1 |
| Série Vigor2135 | 4.4.2 |
| Vigor1000B | 4.3.1.1 |
| Vigor166 | 4.2.4 |
| Vigor165 | 4.2.4 |
| Série Vigor3220 | 3.9.7.2 |
| Vigor2952/2952P | 3.9.7.2 |
| Série Vigor2926 | 3.9.8.1 |
| Série Vigor2926 LTE | 3.9.8.1 |
| Vigor2912 | 3.8.15 |
| Série Vigor2133 | 3.9.6.4 |