FatPipe WARP, IPVPN, and MPVPN software の危険なファイルのアップロードの脆弱性（CVE-2021-27860）

何が起きた

FatPipe の WARP、IPVPN、MPVPN というソフトの Web 管理画面に、ファイルのアップロードをきちんと制限していない弱点が見つかりました。NVD の説明によると、ログインしていない攻撃者が、離れた場所からファイルを機器の中の好きな場所に置けるおそれがあります。この弱点は、実際の攻撃に使われたことが CISA によって確認されています。NVD の評価では、悪用には被害者側の操作が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FatPipe の WARP、IPVPN、MPVPN を使っている組織が対象です。CVE の記録と NVD の説明によると、影響を受けるのは 10.1 系の 10.1.2r60p92 より前と、10.2 系の 10.2.2r44p1 より前のバージョンです。メーカーの勧告番号は FPSA006 です。

何をすればいい

CVE の記録と NVD の説明にもとづき、使っているソフトが、10.1.2r60p92 以降、または 10.2.2r44p1 以降に更新されているか確認してください。CISA は、メーカーの案内に従って更新するよう求めています。あわせて、FatPipe の公式の案内（勧告 FPSA006）を確認してください。

やることチェックリスト

• 10.1 系は 10.1.2r60p92 以降に更新する
• 10.2 系は 10.2.2r44p1 以降に更新する
• 勧告 FPSA006 の内容を読んで対応する

用語メモ

Web 管理画面

機器の設定をブラウザから変えるための画面です。ここに弱点があると、機器そのものを操られるおそれがあります。

アップロード

手元のファイルを、ネットワークを通じて相手の機器やサーバーに送って置くことです。