居易VPN閘道設備存在命令注入漏洞，逾6.6萬臺設備曝險，臺灣有超過1萬臺曝險

直接連上網際網路的閘道設備，像是路由器、VPN閘道，一有重大漏洞、若未盡快修補，受到攻擊的機會比其他設置在防火牆背後的系統更大，最近又有這類資安威脅形成！根據資安研究人員Netsecfish的分析，居易科技（DrayTek）VPN閘道設備Vigor2960、Vigor300B存在命令注入漏洞，2024年12月27日這漏洞被通報，編號為CVE-2024-12987，攻擊者可操弄session參數注入任意命令，CVSS風險評分為7.3，估計有超過6.6萬臺設備曝險。

此漏洞出現在VPN閘道的網頁管理介面，源自/cgi-bin/mainfunction.cgi/apmcfgupload一項未知的功能，攻擊者想要利用漏洞，會藉由發送惡意HTTP請求觸發，影響搭配1.5.1.4版韌體的Vigor2960、Vigor300B。

目前有多少存在CVE-2024-12987的閘道暴露在網際網路上？研究人員透過物聯網搜尋引擎FOFA進行搜尋，結果發現66,463臺設備曝險，其中確認有47,471臺是Vigor2960、1,554臺是Vigor300B。

關於受此漏洞影響的國家而言，越南、臺灣分居全球第一、二名，分別有20,521、11,155臺，其次為英國、墨西哥、香港，分別有4,496、3,679、3,599臺。

針對這樣的情況，我們也向居易進一步詢問，該公司表示已在去年10月發布的1.5.1.5版韌體修補這項弱點，他們也確認還有Vigor3900也受到影響。但為何這項已被修補的漏洞超過1年才被研究人員發現？該公司並未說明。