DrayTek Vigor2960: Command Injection über Firmware-Upload-Funktion

Zusammenfassung

Die DrayTek Vigor2960 Firmware 1.5.1.6 (Revision 8218) enthält eine Command Injection in der Funktion uploadlangs von /cgi-bin/mainfunction.cgi. Ein Angreifer mit einem gültigen Login mit niedrigen Berechtigungen (PR:L) kann einen präparierten Dateinamen senden und beliebige Betriebssystembefehle auf dem Gerät ausführen. Der CVSS-Vektor zeigt eine Erreichbarkeit über das Netzwerk, daher ist das Risiko deutlich höher, wenn eine Verwaltungsschnittstelle aus dem Internet erreichbar ist. Die Vigor2960 ist end-of-support, weshalb weitere Korrekturen nicht garantiert sind.

Betroffen

• DrayTek Vigor2960, Firmware 1.5.1.6 Revision 8218

Behoben in

• Firmware 1.5.1.7 (gemäss den CNA-Daten und dem Download-Ort des Herstellers)

Umgehung

• Keine offizielle Workaround bekannt.
• Bis zur Aktualisierung der Firmware: Webverwaltung auf der WAN-Seite schliessen, Admin-Zugriff auf LAN oder VPN beschränken, starke und eindeutige Admin-Passwörter verwenden und Admin-Konten überprüfen. Dabei handelt es sich um allgemeine Massnahmen, nicht um vom Hersteller veröffentlichte Gegenmassnahmen.

Ausnutzung

• VulDB stuft den Exploit als vorhanden und den Status als Proof-of-Concept ein. Ein öffentliches PoC-Repository wird referenziert.
• CISA-SSVC-Bewertung: Exploitation poc, nicht automatisierbar.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Gemäss OpenCVE nicht in der KEV-Liste.

Unsere Empfehlung

• Alle Vigor2960-Geräte und Firmware-Versionen inventarisieren, einschliesslich Standorte von Niederlassungen.
• Wo möglich auf 1.5.1.7 aktualisieren; für Geräte, die nicht aktualisiert werden können, Ersatz planen.
• Webverwaltung auf der WAN-Seite schliessen und Admin-Zugriff auf LAN oder VPN beschränken.
• Starke und eindeutige Admin-Passwörter durchsetzen und Admin-Konten überprüfen.
• Logs auf unerwartete Admin-Logins oder ungewöhnliche mainfunction.cgi-Anfragen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulDB CVE-2026-113391 vuldb.com
• VulDB entry 422667 vuldb.com
• Firmware Vigor2960 v1.5.1.7 download fw.draytek.com.tw
• GitHub PoC case DRV2960-0008 github.com
• DrayTek security advisory index www.draytek.com
• OpenCVE CVE-2026-113391 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:37.