Arcadyan Buffalo Firmware のパストラバーサルの脆弱性（CVE-2021-20090）

何が起きた

Arcadyan 製のソフトを使ったルーターの Web の管理画面に、パストラバーサル（ファイルの場所の指定を細工して、本来は入れない場所に入る手口）の弱点が見つかりました。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに悪用できます。CISA によると、ログイン（認証）を素通りして大事な情報を見られるおそれがあり、複数のメーカーのルーターが影響を受けます。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、Buffalo WSR-2533DHPL2 のファームウェア 1.02 以前と、WSR-2533DHP3 のファームウェア 1.24 以前が影響を受けます。CISA によると、ほかのメーカーのルーターにも影響があります。CVE を登録した Tenable の勧告では、これらは問題が確かめられた版で、影響を受ける最新の版を示すものではないとされています。

何をすればいい

Buffalo WSR-2533DHPL2 や WSR-2533DHP3 を使っている場合は、ファームウェアのバージョンを確認し、Buffalo の案内に従って更新してください。CVE を登録した Tenable の勧告には修正版の番号は書かれておらず、それぞれのメーカーから更新の情報を得るよう案内されています。ほかのメーカーのルーターを使っている場合も、メーカーの案内を確認して更新してください。

やることチェックリスト

• WSR-2533DHPL2 などのファームウェアの版を調べる
• Buffalo の案内に従いファームウェアを更新する
• 他社のルーターもメーカーの案内に従い更新する

用語メモ

パストラバーサル

ファイルの場所を示す文字列を細工して、本来は見られない場所のファイルや画面にたどり着く攻撃の手口です。

ファームウェア

ルーターなどの機器の中に入っている、機器を動かすための基本的なソフトウェアです。

認証

ID とパスワードなどで、本人であることを確かめる仕組みです。