DrayTek Vigor2960: Command Injection in mainfunction.cgi (authentifiziert)
Zusammenfassung
Eine Command Injection in der Funktion set_table des Web-CGI-Prozesses (/cgi-bin/mainfunction.cgi) des DrayTek Vigor2960 Routers erlaubt einem Angreifer, beliebige Shell-Befehle auf dem Gerät auszuführen. Der Angreifer benötigt eine gültige Administrator-Sitzung, und die Schwachstelle ist aus der Ferne erreichbar, sofern das Web-Management-Interface exponiert ist. Ein öffentlicher Proof-of-Concept existiert. DrayTek hat den Vigor2960 als End-of-Support mit eingeschränktem Support eingestuft, daher ist ein Fix für diese Schwachstelle nicht sicher.
Betroffen
- DrayTek Vigor2960, Firmware 1.5.1.6 Revision 8218
- Andere Firmware-Versionen: Unbekannt.
Behoben in
- Firmware 1.5.1.7 oder neuer, gemäss der Herstellerangabe in der CVE-Beschreibung. Dieser Fix wurde auf der DrayTek-Website nicht bestätigt.
- Der Hersteller prüft bei diesem End-of-Support-Modell nur wichtige Probleme, daher ist ein Fix für diese Schwachstelle nicht garantiert.
Umgehung
- Keine CVE-spezifische Massnahme bekannt.
- Remote Management deaktivieren und das Web-Admin-Interface sowie das WAN-Management vom Internet fernhalten.
- Den Zugriff auf das Gerät auf vertrauenswürdige Netze und Administratoren beschränken.
Ausnutzung
- Öffentlicher Proof-of-Concept-Exploit-Code existiert (VulDB-Status: Proof-of-Concept).
- Eine authentifizierte Administrator-Sitzung ist erforderlich.
- Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt. In den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle Vigor2960-Geräte in Ihrer Umgebung identifizieren und prüfen, ob das Admin-Interface aus dem Internet erreichbar ist.
- Den Management-Zugriff jetzt einschränken und starke, eindeutige Administrator-Passwörter verwenden.
- Auf Firmware 1.5.1.7 aktualisieren, falls das Gerät dies unterstützt, oder einen Ersatz planen, da das Modell End-of-Support ist.
- Das Gerät auf unerwartete Konfigurationsänderungen überwachen und verwandte DrayTek-CVEs derselben Serie prüfen, etwa CVE-2026-113391 und CVE-2026-113396.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub: DRV2960-0006 authenticated set_table command injection (case README) github.com
- VulDB: CVE-2026-113389 vulnerability entry vuldb.com
- VulDB: CVE-2026-113389 CTI vuldb.com
- Vulners: CVE-2026-113389 CNA record vulners.com
- OpenCVE: CVE-2026-113389 app.opencve.io
- DrayTek security advisory index www.draytek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.