DrayTek の複数の Vigor ルーターのOSコマンドインジェクションの脆弱性（CVE-2020-15415）

何が起きた

DrayTek の Vigor3900、Vigor2960、Vigor300B に、OS コマンドインジェクション（機器に送る命令を外から書き換えられる弱点）が見つかり、実際に悪用が確認されています。設定ファイルを送る部分で、ファイル名に特別な記号を入れると、攻撃者が選んだ命令を実行されるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作なしで攻撃できます。これは CVE-2020-14472 とは別の問題とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

DrayTek の Vigor3900、Vigor2960、Vigor300B を使っている人・組織が対象です。NVD の説明では 1.5.1 より前のファームウェアが影響を受けるとされていますが、DrayTek の勧告では修正版を 1.5.1.1 としています。

何をすればいい

DrayTek の勧告に従い、ファームウェアを 1.5.1.1 以降に、できるだけ早く更新してください。DrayTek（英国）の勧告では、すぐに更新できない場合は、機器へのリモートアクセスを無効にするか、ACL（遠隔から管理してよい相手の一覧）でリモートアクセスを制限し、そのうえで早めに更新するよう案内しています。あわせて、DrayTek の公式の案内を確認してください。

やることチェックリスト

• 型番とファームウェアの版を確認する
• ファームウェアを 1.5.1.1 以降に更新する
• すぐ更新できなければリモートアクセスを無効にする

用語メモ

OS コマンドインジェクション 用語集で見る

入力に細工をして、機器の中で攻撃者の命令を実行させる攻撃です。

ファームウェア 用語集で見る

ルーターなどの機器の中で動いている、機器を制御するためのソフトウェアです。

リモートアクセス

離れた場所から、インターネットなどを通して機器の管理画面に接続することです。