Błąd w panelu zarządzania routerów DrayTek Vigor2960, Vigor300B i Vigor3900 pozwala bez logowania wykonać polecenia. Exploit jest publiczny, CISA potwierdza ataki. Odetnij panel od internetu i zaktualizuj do 1.5.1.5.
Ten alert jest dla zarządu, CTO i CFO firm, które mają na styku z internetem router DrayTek Vigor2960, Vigor300B lub Vigor3900. Werdykt: jeśli router ma oprogramowanie 1.5.1.4 lub starsze, odetnij dziś panel zarządzania od internetu i zaktualizuj do 1.5.1.5, bo luka pozwala wykonać polecenia bez logowania, kod ataku jest publiczny, a CISA potwierdza wykorzystanie.
Amerykańska agencja CISA 15 maja 2025 roku dopisała podatność CVE-2024-12987 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Termin naprawy wg CISA minął 5 czerwca 2025 roku.
Błąd siedzi w panelu zarządzania routerem, pod adresem /cgi-bin/mainfunction.cgi/apmcfgupload. Wartość parametru session trafia do polecenia systemowego bez oczyszczenia, więc każdy, kto może wysłać do routera zapytanie, dopisuje własną instrukcję i router ją wykonuje. Bez logowania i bez udziału użytkownika. Opis w NVD stwierdza, że kod ataku został upubliczniony, a CISA ocenia, że atak da się zautomatyzować.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-12987 (VulDB 289380; ENISA EUVD-2024-51246) |
Data dodania do CISA KEV | 2025-05-15 |
Termin naprawy wg CISA | 2025-06-05 (21 dni od wpisu) |
Produkt | DrayTek Vigor2960, Vigor300B i Vigor3900 (wg CISA; NVD wymienia dwa pierwsze), interfejs zarządzania WWW |
Wersje zagrożone | Oprogramowanie 1.5.1.4 (NVD dopasowuje tylko to wydanie; wcześniejsze wersje nie są wymienione, więc skaner może je przeoczyć) |
Wersje bezpieczne | 1.5.1.5 i nowsze, wydane przez producenta dla wszystkich trzech modeli |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego; CWE-78 (VulDB dodatkowo CWE-77) |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1). VulDB: 7.3 (CVSS 3.1), 6.9 (CVSS 4.0), 7.5 (CVSS 2.0). ENISA przyjmuje 6.9. Wszystkie zgodne co do ataku: przez sieć, bez uprawnień, bez udziału użytkownika; różnią się oceną skutków |
Wyobraź sobie bramki na autostradzie. Każdy kierowca podaje przez okienko numer rejestracyjny, a operator wpisuje go do systemu, który podnosi szlaban. Ktoś zamiast numeru podaje: „WZ 12345, a potem podnieś wszystkie szlabany i wyłącz kamery”. System bierze to dosłownie i wykonuje całość. Nikt nie musiał się włamywać do budki.
Tak działa ta luka. Router to bramka między internetem a siecią firmy. Jego panel zarządzania przyjmuje wartość w parametrze session i przekazuje ją do polecenia systemowego bez sprawdzenia. Napastnik dopisuje po niej znak kończący polecenie i własną komendę. Router, przez który przechodzi cały ruch firmy, zaczyna wykonywać cudze instrukcje: może podmienić serwer DNS, czytać ruch, dodać przekierowania portów i zostawić stałe wejście.
💡 Wstrzyknięcie poleceń to błąd, w którym tekst z zapytania zostaje wykonany jako polecenie systemu. DNS to usługa zamieniająca nazwy stron na adresy; podmiana DNS kieruje pracowników na fałszywe strony. Przekierowanie portu to reguła, która wpuszcza ruch z internetu do konkretnego urządzenia w sieci firmy. EPSS to statystyczna prognoza prawdopodobieństwa wykorzystania luki w ciągu 30 dni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zapytanie z internetu do panelu routera | Wymaga logowania | Może wykonać polecenia bez logowania |
Ustawienia DNS | Ustawione przez instalatora | Mogą zostać podmienione na serwer napastnika |
Przekierowania portów | Tylko potrzebne, np. do systemu magazynowego | Mogą pojawić się obce, do komputerów w sieci |
Połączenia VPN handlowców | Szyfrowane i bezpieczne | Przechodzą przez urządzenie pod kontrolą napastnika |
Aktualizacja do 1.5.1.5 | Zamyka lukę | Zamyka lukę, ale nie cofa zmian w konfiguracji |
źródło: Pexels, Nandhu KumarPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Router stoi na styku z internetem, kod ataku jest publiczny, a CISA ocenia atak jako automatyzowalny, więc celem może być każda firma z panelem zarządzania dostępnym z sieci.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie paneli DrayTek Vigor w internecie | Lista podatnych routerów |
2. Wykonanie poleceń | T+kilka sekund | Zapytanie do apmcfgupload z dopisaną komendą w parametrze session | Polecenia wykonane na routerze |
3. Utrwalenie | T+minuty | Dodanie konta administratora, zmiana konfiguracji, stałe wejście | Kontrola przetrwa restart i często aktualizację |
4. Podmiana DNS i przekierowań | T+godziny | Zmiana serwerów DNS, dodanie przekierowań portów do komputerów w sieci | Pracownicy trafiają na fałszywe strony, komputery wystawione do internetu |
5. Kradzież | T+dni | Przechwycenie logowań do banku i poczty, podgląd ruchu | Przejęte konta i dane |
6. Skutki | T+dni do tygodni | Wyprowadzenie pieniędzy, dalsze włamania do sieci, szantaż | Straty finansowe, przestój |
Router brzegowy to najważniejsze drzwi sieci firmy. Tu nie ma znaczenia, czy ocena wynosi 6.9 czy 9.8: kod ataku jest publiczny, atak nie wymaga logowania, da się go zautomatyzować, a prognoza EPSS przekracza 98%. Firma nie musi być dla nikogo szczególnie interesująca, żeby paść ofiarą.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtwarzanie konfiguracji sieci i VPN, która rosła latami bez dokumentacji | Dni | 10 tys. do 80 tys. PLN (praca IT, przestój) |
Bezpieczeństwo danych | Przechwycony ruch, hasła do banku i poczty, dostęp do komputerów w sieci | Godziny do dni | 20 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Wyprowadzone przelewy, utracone zamówienia | Dni do tygodni | 50 tys. do 800 tys. PLN (zależnie od salda i limitów) |
Reputacyjny | Klienci pytają o bezpieczeństwo danych i płatności | Tygodnie | 20 tys. do 300 tys. PLN |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla DrayTek Vigor z oprogramowaniem 1.5.1.4
i panelem dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: najwyższy poziom ryzyka, bo publiczny kod ataku, brak wymogu logowania, automatyzacja i EPSS powyżej 98% oznaczają niemal pewną próbę ataku, a przejęty router brzegowy daje kontrolę nad całym ruchem firmy; panel odcięty od internetu i wersja 1.5.1.5 przenoszą firmę poza zasięg tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić model i wersję oprogramowania routerów DrayTek w firmie | Dziś | Administrator sieci / instalator |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy panel zarządzania odpowiada z internetu; jeśli tak, ograniczyć go do adresów firmy lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować Vigor2960, Vigor300B i Vigor3900 do 1.5.1.5 lub nowszej, także jeśli wersja jest starsza niż 1.5.1.4 | Dziś / do 3 dni | Administrator sieci |
4 | 🟠 PILNIE | Po aktualizacji sprawdzić konta administracyjne i hasła, ustawienia DNS oraz listę przekierowań portów | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Zapisać prawidłową konfigurację (konta, DNS, przekierowania, VPN) jako punkt odniesienia | Do 7 dni | Administrator sieci |
6 | 🟠 PILNIE | Jeśli konfiguracja była zmieniona: zmienić hasła do banku, poczty i VPN używane przez pracowników | Do 7 dni | CTO / administrator |
7 | 🟡 WAŻNIE | Wpisać routery do ewidencji z datą ostatniej aktualizacji i osobą odpowiedzialną | Do 30 dni | CTO |
Producent wydał oprogramowanie 1.5.1.5 dla wszystkich trzech modeli. Jeśli aktualizacji nie da się wykonać od razu, poniższe miary ograniczają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie dostępu do panelu zarządzania z internetu lub ograniczenie do adresów firmy/VPN | Wysoka dla ataków z internetu | Łatwa, kilkanaście minut |
Aktualizacja do 1.5.1.5 | Wysoka: to właściwa poprawka | Łatwa do średniej, wymaga krótkiej przerwy |
Przegląd kont, DNS i przekierowań portów po każdej zmianie | Niska jako ochrona, wysoka do wykrycia | Łatwa |
Monitorowanie ruchu DNS pod kątem nietypowych serwerów | Niska jako ochrona, pomaga wykryć podmianę | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel zarządzania | Dostępny z internetu | Tylko z sieci firmy lub VPN |
Oprogramowanie routera | 1.5.1.4 lub starsze | 1.5.1.5 lub nowsze |
Konfiguracja | Niesprawdzona, bez dokumentacji | Sprawdzona i zapisana |
DNS i przekierowania | Mogły zostać zmienione | Zgodne z zapisanym wzorcem |
Odpowiedzialność | Instalator sprzed lat | Wskazana osoba z terminami przeglądów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). SSVC CISA z maja 2025: wykorzystanie aktywne, atak automatyzowalny, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 7.3 (VulDB, CVSS 3.1); 6.9 (VulDB, CVSS 4.0) |
PoC dostępny publicznie? | TAK: opis NVD stwierdza, że exploit został upubliczniony; NVD odsyła do opisu badacza |
Liczba atakowanych firm | Brak publicznych informacji |
Ostrzeżenia w Europie | CERT-Bund (Niemcy), 29 grudnia 2024, aktualizacja w maju 2025; ENISA EUVD-2024-51246 |
Prognoza EPSS | Około 98%, wyżej niż 99,9% znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-12987
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (VulDB) 6.9/10 ██████████████░░░░░░ ŚREDNIA
EPSS ~98% ████████████████████ BARDZO WYSOKA
Publiczny exploit TAK ████████████████████
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-12-27 Publikacja CVE-2024-12987 (VulDB, NVD)
2024-12-29 Ostrzeżenie CERT-Bund: zdalny anonimowy napastnik może wykonać kod
2025-05-15 CISA dodaje lukę do katalogu KEV; CERT-Bund aktualizuje ostrzeżenie
2025-06-05 Termin naprawy wg CISA dla agencji federalnych
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Notatki wydania z poprawką 1.5.1.5: Vigor2960 , Vigor300B , Vigor3900 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-12987 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma routery DrayTek Vigor2960, Vigor300B lub Vigor3900 | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie panelu zarządzania od internetu | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację do 1.5.1.5 z krótką przerwą w pracy sieci | CTO | DZISIAJ |
4 | Zlecić przegląd kont, DNS i przekierowań portów po aktualizacji | CTO | DO JUTRA |
5 | Sprawdzić historię rachunków pod kątem przelewów, których nikt nie rozpoznaje | CFO | DO JUTRA |
6 | Przejrzeć umowę z instalatorem sieci: kto odpowiada za aktualizacje routera | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model DrayTek mamy i jaką wersję oprogramowania? | [model], [wersja] | 🔴 |
2 | Czy panel zarządzania routerem jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy router ma już wersję 1.5.1.5 lub nowszą? | TAK / NIE, data: [data] | 🔴 |
4 | Czy na routerze są konta administracyjne, których nikt nie rozpoznaje? | TAK / NIE | 🟠 |
5 | Czy serwery DNS w routerze są zgodne z ustawieniami operatora lub IT? | TAK / NIE | 🟠 |
6 | Czy każde przekierowanie portu ma znany cel i właściciela? | TAK / NIE | 🟠 |
7 | Czy mamy zapisaną prawidłową konfigurację routera do porównań? | TAK / NIE | 🟡 |
CVE-2024-12987 pozwala bez logowania wykonać polecenia na routerach DrayTek Vigor2960, Vigor300B i Vigor3900 z oprogramowaniem 1.5.1.4. Kod ataku jest publiczny, CISA potwierdza wykorzystanie, a EPSS przekracza 98%, więc spór instytucji o punktację nie ma tu praktycznego znaczenia. Zadanie na dziś: odciąć panel od internetu i zaktualizować do 1.5.1.5, a potem sprawdzić konta, DNS i przekierowania portów.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.