JVNVU#94260088
エレコム製ルータにおける認証不備およびOSコマンドインジェクションの脆弱性

エレコム株式会社が提供する複数のルータ製品には、認証不備およびOSコマンドインジェクションの脆弱性が存在します。

• WRC-1167FS-W
• WRC-1167FS-B
• WRC-300FEBK
• WRC-F300NF
• WRC-733FEBK
• WRH-300RD
• WRH-300BK
• WRH-300SV
• WRH-300WH
• WRH-H300WH
• WRH-H300BK
• WRC-1167FSA
• WRH-300BK-S
• WRH-300WH-S

エレコム株式会社が提供する複数のルータ製品には、次の複数の脆弱性が存在します。

WRC-1167FS-W、WRC-1167FS-B、WRC-1167FSA

• 情報漏えい (CWE-200) - CVE-2021-20738

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

  基本値: 4.3

WRC-300FEBK、WRC-F300NF、WRC-733FEBK、WRH-300RD、WRH-300BK、WRH-300SV、WRH-300WH、WRH-H300WH、WRH-H300BK、WRH-300BK-S、WRH-300WH-S

• OS コマンドインジェクション (CWE-78) - CVE-2021-20739

  CVSS v3

  CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

  基本値: 6.3

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 隣接するネットワーク上の第三者に機器内の機微な情報を窃取される - CVE-2021-20738
• 隣接するネットワーク上の第三者により、当該製品上で任意の OS コマンドを実行される - CVE-2021-20739

製品の使用を停止する
下記の製品はサポートが終了しており、修正アップデートは提供されません。開発者は後継製品への移行を推奨しています。
WRC-300FEBK、WRC-F300NF、WRC-733FEBK、WRH-300RD、WRH-300BK、WRH-300SV、WRH-300WH、WRH-H300WH、WRH-H300BK、WRH-300BK-S、WRH-300WH-S

ワークアラウンドを実施する
WRC-1167FS-W、WRC-1167FS-B および WRC-1167FSA については、修正アップデートの予定はありませんが、下記を実施することで本脆弱性の影響を軽減することが可能です。

• 設定画面のログインパスワードを変更する
• 設定画面にログインしている間、他のウェブサイトにアクセスしない
• 設定画面での操作を終えた後にウェブブラウザを終了させる
• ウェブブラウザに保存された設定画面のパスワードを削除する