JVN#96783542
複数のロジテック製品における複数の脆弱性

ロジテック株式会社が提供する複数の製品には、複数の脆弱性が存在します。

CVE-2021-20635

• LAN-WH450N/GR

• LAN-W300N/PR5B

• LAN-W300N/PGRB

• LAN-W300N/RS

ロジテック株式会社が提供する複数の製品には、次の複数の脆弱性が存在します。

• 過度な認証試行の不適切な制限 (CWE-307) - CVE-2021-20635

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	基本値: 4.3
  CVSS v2	AV:A/AC:L/Au:N/C:P/I:N/A:N	基本値: 3.3

• クロスサイトリクエストフォージェリ (CWE-352) - CVE-2021-20636, CVE-2021-20641

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	基本値: 4.3
  CVSS v2	AV:N/AC:H/Au:N/C:P/I:P/A:N	基本値: 4.0

• 例外的な状況に対する不適切なチェックまたは処理 (CWE-703) - CVE-2021-20637, CVE-2021-20642

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L	基本値: 4.3
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:N/A:P	基本値: 2.6

• OS コマンドインジェクション (CWE-78) - CVE-2021-20638

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	基本値: 6.8
  CVSS v2	AV:A/AC:L/Au:S/C:P/I:P/A:P	基本値: 5.2

• OS コマンドインジェクション (CWE-78) - CVE-2021-20639

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	基本値: 6.8
  CVSS v2	AV:A/AC:L/Au:S/C:P/I:P/A:P	基本値: 5.2

• バッファオーバーフロー (CWE-119) - CVE-2021-20640

  CVSS v3	CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	基本値: 6.8
  CVSS v2	AV:A/AC:L/Au:S/C:P/I:P/A:P	基本値: 5.2

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 該当機器の無線 LAN 到達範囲にいる第三者によって PIN が解読され、当該機器が提供するネットワークにアクセスされる - CVE-2021-20635
• 当該製品の Web 管理ページにログインしているユーザが、細工された URL にアクセスすることで、意図せず当該製品の設定変更などをさせられる - CVE-2021-20636, CVE-2021-20641
• 当該製品の Web 管理ページにログインしているユーザが、細工された URL にアクセスすることで、サービス運用妨害 (DoS) 攻撃を受ける - CVE-2021-20637, CVE-2021-20642
• 当該製品の Web 管理ページにアクセス可能な攻撃者によって、任意の OS コマンドを実行される - CVE-2021-20638, CVE-2021-20639, CVE-2021-20640

製品の使用を停止する
開発者によると当該製品のサポートは既に終了しているため、恒久的な対策として、製品の使用を停止してください。