Yealink Device Management のSSRFの脆弱性（CVE-2021-27561）

何が起きた

Yealink の Device Management（電話機などをまとめて管理するサーバーのソフト）に、外から OS の命令を送り込まれてしまう弱点（コマンドインジェクション）が見つかりました。NVD の説明によると、特定の URI に細工したリクエストを送ると、ログインなしで root（最も強い権限）として命令を実行されます。CISA の概要では、サーバー側リクエストフォージェリ（SSRF）の弱点として説明されています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用でき、CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Yealink Device Management を使っている組織が影響を受けます。NVD の説明では 3.6.0.20 が対象として挙げられていて、NVD の対象製品の設定では 3.6.0.20 以前が対象とされています。修正版の番号は、このデータからは不明です。

何をすればいい

メーカー（ベンダー）の案内に従って、Yealink Device Management を更新してください。3.6.0.20 のままになっていないか確認してください。修正版の番号はこのデータからは分からないため、公式の案内を確認してください。

やることチェックリスト

• Device Management の版を調べる
• 3.6.0.20 以前を使っていれば更新する
• メーカーの更新が出ていれば適用する

用語メモ

コマンドインジェクション 用語集で見る

入力の中に OS への命令を紛れ込ませて、サーバーに実行させてしまう攻撃です。

root 用語集で見る

Linux などで、すべての操作ができる最も強い権限を持つ利用者です。

サーバー側リクエストフォージェリ（SSRF）

サーバーをだまして、攻撃者の代わりに別の場所へ通信させる攻撃です。