Arcadyan Buffalo Firmware のパストラバーサルの脆弱性（CVE-2021-20090）

何が起きた

Arcadyan 製のソフトを使ったルーターの Web の管理画面に、パストラバーサル（ファイルの場所の指定を細工して、本来は入れない場所に入る手口）の弱点が見つかりました。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに悪用できます。CISA によると、ログイン（認証）を素通りして大事な情報を見られるおそれがあり、複数のメーカーのルーターが影響を受けます。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、Buffalo WSR-2533DHPL2 のファームウェア 1.02 以前と、WSR-2533DHP3 のファームウェア 1.24 以前が影響を受けます。CISA によると、ほかのメーカーのルーターにも影響があります。修正されたファームウェアのバージョンは、確かめられた情報からは不明です。

何をすればいい

Buffalo WSR-2533DHPL2 や WSR-2533DHP3 を使っている場合は、ファームウェアのバージョンを確認し、Buffalo の案内に従って更新してください。CISA は、メーカーの案内に従って更新するよう求めています。ほかのメーカーのルーターを使っている場合も、メーカーの案内を確認して更新してください。

やることチェックリスト

• WSR-2533DHPL2 などのファームウェアの版を調べる
• Buffalo の案内に従いファームウェアを更新する
• 他社のルーターもメーカーの案内に従い更新する

用語メモ

パストラバーサル 用語集で見る

ファイルの場所を示す文字列を細工して、本来は見られない場所のファイルや画面にたどり着く攻撃の手口です。

ファームウェア 用語集で見る

ルーターなどの機器の中に入っている、機器を動かすための基本的なソフトウェアです。

認証 用語集で見る

ID とパスワードなどで、本人であることを確かめる仕組みです。