-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Draytek Vigor routers
Advisory ID     : NCSC-2024-0388
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2024-41583, CVE-2024-41584, CVE-2024-41585,
                  CVE-2024-41586, CVE-2024-41587, CVE-2024-41588,
                  CVE-2024-41589, CVE-2024-41590, CVE-2024-41591,
                  CVE-2024-41592, CVE-2024-41593, CVE-2024-41594,
                  CVE-2024-41595, CVE-2024-41596
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Cleartext Transmission of Sensitive Information
                  Buffer Copy without Checking Size of Input ('Classic
                  Buffer Overflow')
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Stack-based Buffer Overflow
Uitgiftedatum   : 20241004
Toepassing      : draytek vigor310
                  draytek vigor3910
Versie(s)       :
Platform(s)     :

Beschrijving
   Draytek heeft kwetsbaarheden verholpen in diverse typen routers uit
   de Vigor-serie.

   Een kwaadwillende kan de kwetsbaarheden misbruiken om een Denial-of-
   Service te veroorzaken, of om een Cross-Site-Scripting-aanval uit te
   voeren en daarmee mogelijk toegang te krijgen tot gevoelige gegevens
   of willekeurige code uit te voeren in de context van de browser van
   het slachtoffer.
   Voor een succesvolle Cross-Site-Srcripting, en daarmee uitvoer van
   code, moet de kwaadwillende toegang hebben tot de web-interface van
   het kwetsbare systeem. Het is goed gebruik een dergelijke interface
   niet publiek toegankelijk te hebben, maar af te steunen in een
   separate beheer-omgeving.
   Kwetsbare systemen van de types
   - Vigor2620
   - VigorLTE200
   - Vigor2133
   - Vigor2762
   - Vigor2832
   - Vigor2860
   - Vigor2925
   - Vigor2862
   - Vigor2926
   - Vigor2952
   - Vigor3220
   zijn End-of-Life en ontvangen geen beveiligingsupdates. Draytek
   levert nog wel één patch voor de kwetsbaarheid met kenmerk
   CVE-2024-41592. De overige kwetsbaarheden worden niet (meer)
   verholpen.

Mogelijke oplossingen
   Draytek heeft updates uitgebracht om de kwetsbaarheden te verhelpen.
   Tevens wijst het NCSC erop dat een deel van de kwetsbare systemen
   End-of-Life is en uitsluitend een fix heeft gekregen voor de
   kwetsbaarheid met kenmerk CVE-2024-41592. Het NCSC adviseert deze
   systemen te vervangen voor modernere en ondersteunde systemen. Zie
   bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference - cveprojectv5; hkcert; nvd
      https://www.forescout.com/resources/draybreak-draytek-research/

      Reference - ncscclear
      https://www.draytek.com/support/resources/routers#version

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
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=VtNe
-----END PGP SIGNATURE-----