CVE-2021-20124とは？DrayTek VigorConnectの脆弱性をわかりやすく解説

ひとことでDrayTek VigorConnect で、ログインなしに機器の中の任意のファイルを取られる弱点
深刻度7.5 重要CVSS v3.1
まずやることVigorConnectが1.6.0-B3か確認する

基本情報（データから表示）

CVE番号	CVE-2021-20124
製品	DrayTek VigorConnect
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2024-09-03
米国政府機関の対応期限	2024-09-24
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

DrayTek VigorConnect の WebServlet という窓口のファイルのダウンロード機能に、ファイルの置き場所の確認が不十分な弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が、被害者の操作なしに悪用できます。悪用されると、土台の OS にある任意のファイルを、root（最も強い権限）の権限でダウンロードされるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、DrayTek VigorConnect の 1.6.0-B3 が影響を受けます。修正された版の番号は、DrayTek のセキュリティ勧告で確かめてください。

何をすればいい

CISA は、メーカーの案内に沿って対策をとり、対策が取れない場合は製品の使用をやめるよう求めています。DrayTek のセキュリティ勧告を確認し、VigorConnect を修正された版に更新してください。同じ製品の別の弱点 CVE-2021-20123 も KEV に載っているため、あわせて対応してください。

やることチェックリスト

VigorConnectが1.6.0-B3か確認する
DrayTekの勧告に沿って更新する
更新できない場合は使用を中止する

用語メモ

パストラバーサル用語集で見る: ファイルの置き場所の指定を細工して、本来は扱えない場所のファイルを読み書きさせる攻撃や弱点のことです。
root 用語集で見る: Linux などで、機器のすべてを操作できる最も強い管理者の権限のことです。

次に読む

同じ製品・メーカーの脆弱性DrayTek VigorConnect（CVE-2021-20123）7.5 重要CVSS v3.1DrayTek VigorConnect で、ログインなしに機器の中の任意のファイルを取られる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Draytek VigorConnect Path Traversal Vulnerability

概要

Draytek VigorConnect contains a path traversal vulnerability in the file download functionality of the WebServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

DrayTek VigorConnect のパストラバーサルの脆弱性（CVE-2021-20124）