SICHERHEITS LÜCKE: Draytek Router/Modem haben kritische Lücke

Für den 167 gibt es nicht aktuelleres als die 5.1.1, die soll ja auch betroffen sein oder bin ich zu doof das < 5.1.1 zu deuten?

MMn heißt <5.1.1 das du mit der 5.1.1 auf der sicheren Seite bist. Nur wenn du kleiner oder gleich 5.1.0 hast musst du aktualisieren.

Die Lücke ist seit April bei Draytek bekannt (hier), und die Firmware-Versionen wurden aktualisiert . Jetzt denke ich ist die Lücke nur veröffentlicht wurden nach Ablauf der Stillschweige-Pflicht.

Für mich heißt es Version 5.1.1 und kleiner. Da es keine neue Firmware gibt, wird es schon stimmen.

nein, nur kleiner 5.1.1 ist gefährdet, wenn das stimmt, was auf der Homepage steht. Vigor167 < 5.1.1 = Vigor "kleiner als" 5.1.1

Neue Meldung vom 02.03.2023:

Cross-Site Scripting vulnerability (CVE-2023-23313)

Zitat von DRAYTEK

Cross-Site Scripting vulnerability (CVE-2023-23313)

Released Date: 2023-03-02

A Cross-Site Scripting vulnerability in the hotspot web portal and user management login page on Draytek Routers (CVE-2023-23313) has been discovered.

It is possible for an authenticated attacker to inject and store arbitrary JavaScript code into the user's browser by using the vulnerable CGI script. Since the injected code is stored permanently, every user visiting the web application will trigger the stored malicious payload. DrayTek will release new firmwares with security updates for Cross-Site Scripting vulnerability as follows.

Hier zum kompletten Nachlesen:

Cross-Site Scripting vulnerability (CVE-2023-23313) | DrayTek

Achtet beim Update auf Eure derzeitige Modemversion z.B. DSL Version  8D1917 und ggfs. auf die passende Hardwarerevision.

Firmware gibt es wie immer hier:

Index of / (draytek.com.tw)

Für Vigor 130 (danke gierig):

Index of /Vigor130 (draytek.com.tw)

Für Vigor 165:

Index of /Vigor165 (draytek.com.tw)

Für Vigor 166:

Index of /Vigor166 (draytek.com.tw)

Für Vigor 167:

Index of /Vigor167 (draytek.com.tw)

Nach dem aufspielen der Firmware muss man einen reboot durchführen. Der hat bei mir im updateprozess nicht funktioniert (reboot = click to reboot = ausgeloggt)

Ich hab den reboot händisch über "System Maintenance = Reboot System" durchgeführt. Dann wurde auch die neue Version angezeigt...

Ich dachte, ich denk mal mit... Topic heißt ja "SICHERHEITS LÜCKE: DRAYTEK ROUTER/MODEM HABEN KRITISCHE LÜCKE"

Dachte eher an eine Art Sammelthread

Ich bearbeite den Thread bissl optisch

shit, eben versucht:

Zitat von Uwe

shit, eben versucht:

so, hab's viermal mit drei verschiedenen FW-Versionen versucht. Immer der gleiche Fehler.

Beim 5. Versuch gings dann, als wenn nie was gewesen wäre. Keine Ahnung was da Schluckauf hatte.

Guter Vorschlag. Ist so umgesetzt. Und jetzt habt ihr euch bitte wieder lieb. Sind doch erwachsene Menschen.

Auch das betagte Draytek Vigor 130 wurde beim Update nicht vergessen.

die 3.8.5 wurde auf 3.8.5.1 gehoben.

Das in Deutschland verbreitete "Modem 7" Firmware findet ihr hier:

https://fw.draytek.com.tw/Vigor130/Firmware/v3.8.5.1/Vigor130_v3.8.5.1_modem_7.zip

die anderen dann natürlich auch hier:

Index of /Vigor130/Firmware/v3.8.5.1

Upgrade ohne besonderen Vorkommnisse.

Ich habe mein 165 auch upgedatet, keine Probleme.

Zitat von speed

Ich habe mein 165 auch upgedatet, keine Probleme.

Welche Version (MDM) haste denn installiert? SVDSL-Anschluss?

Wollte mein 165 auch updaten. MacBook mit mit Draytek am LAN-Port 2 verbunden und versucht mit der 192.168.1.1 aufs Web-Ui zu kommen. Hat nicht geklappt. Möglicherweise wurde die IP beim einrichten geändert. In unseren Unterlagen steht dazu aber leider nix. Schreit nach Factory-Reset. Hat irgendeiner noch eine Idee? Würde mir den Reset gerne ersparen. Vielleicht war mein Vorgehen aber auch falsch und habe ein Brett vorm Kopf.

razor

Aus dem Verzeichnis die mdm2

Index of /Vigor165/Firmware/v4.2.4.1 (draytek.com.tw)