最近の脆弱性 › CVE-2020-15415

DrayTek Multiple Vigor Routers のOSコマンドインジェクションの脆弱性（CVE-2020-15415）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2020-15415
製品	DrayTek Multiple Vigor Routers
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-09-30
米国政府機関の対応期限	2024-10-21
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

DrayTek の Vigor3900、Vigor2960、Vigor300B に、OS コマンドインジェクション（機器に送る命令を外から書き換えられる弱点）が見つかり、実際に悪用が確認されています。設定ファイルを送る部分で、ファイル名に特別な記号を入れると、攻撃者が選んだ命令を実行されるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作なしで攻撃できます。これは CVE-2020-14472 とは別の問題とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

DrayTek の Vigor3900、Vigor2960、Vigor300B を使っている人・組織が対象です。NVD の説明では 1.5.1 より前のファームウェアが影響を受けるとされていますが、DrayTek の勧告では修正版を 1.5.1.1 としています。

何をすればいい

DrayTek の勧告に従い、ファームウェアを 1.5.1.1 以降に、できるだけ早く更新してください。DrayTek（英国）の勧告では、すぐに更新できない場合は、機器へのリモートアクセスを無効にするか、ACL（遠隔から管理してよい相手の一覧）でリモートアクセスを制限し、そのうえで早めに更新するよう案内しています。あわせて、DrayTek の公式の案内を確認してください。

やることチェックリスト

型番とファームウェアの版を確認する
ファームウェアを 1.5.1.1 以降に更新する
すぐ更新できなければリモートアクセスを無効にする

用語メモ

OS コマンドインジェクション: 入力に細工をして、機器の中で攻撃者の命令を実行させる攻撃です。
ファームウェア: ルーターなどの機器の中で動いている、機器を制御するためのソフトウェアです。
リモートアクセス: 離れた場所から、インターネットなどを通して機器の管理画面に接続することです。

元データ（英語・CISA KEV より）

DrayTek Multiple Vigor Routers OS Command Injection Vulnerability

概要

DrayTek Vigor3900, Vigor2960, and Vigor300B devices contain an OS command injection vulnerability in cgi-bin/mainfunction.cgi/cvmcfgupload that allows for remote code execution via shell metacharacters in a filename when the text/x-python-script content type is used.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.