最近の脆弱性 › CVE-2024-12987

DrayTek Vigor Routers のOSコマンドインジェクションの脆弱性（CVE-2024-12987）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-12987
製品	DrayTek Vigor Routers
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-05-15
米国政府機関の対応期限	2025-06-05
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

DrayTek の Vigor のルーターのウェブ管理画面にある /cgi-bin/mainfunction.cgi/apmcfgupload という部分で、session という値を細工すると、機器の OS の命令を実行できる弱点（OS コマンドインジェクション）が見つかりました。ネットワーク経由で、権限を持たない（ログインしていない）攻撃者が悪用できるとされています。攻撃の方法は公開されており、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

DrayTek の Vigor2960 と Vigor300B の 1.5.1.4 を使っている組織が対象です。CISA の KEV では Vigor3900 も対象として挙げられていますが、Vigor3900 の影響を受けるバージョンは、このデータからは不明です。

何をすればいい

CVE の記録では、1.5.1.5 に更新するとこの問題が直るとされています。Vigor2960 と Vigor300B は 1.5.1.5 以降に更新されているか確認してください。Vigor3900 については、DrayTek の公式の案内を確認して、案内に従って更新や対策をしてください。

やることチェックリスト

Vigor2960 と Vigor300B の版を調べる
1.5.1.5 以降に更新する
Vigor3900 はメーカーの修正版を適用する

用語メモ

OS コマンドインジェクション: 入力の中に機器の命令を紛れ込ませて、本来は許されない命令を実行させる攻撃です。
ウェブ管理画面: ブラウザから機器の設定を変えるための画面です。

元データ（英語・CISA KEV より）

DrayTek Vigor Routers OS Command Injection Vulnerability

概要

DrayTek Vigor2960, Vigor300B, and Vigor3900 routers contain an OS command injection vulnerability due to an unknown function of the file /cgi-bin/mainfunction.cgi/apmcfgupload of the component web management interface.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.