公開日：2021/07/26　最終更新日：2021/07/27

JVNVU#92877673
Arcadyan製ソフトウェアを使用するルーターにディレクトリトラバーサルの脆弱性

概要

Arcadyan製ソフトウェアを使用するルーターには、ディレクトリトラバーサルの脆弱性が存在します。

影響を受けるシステム

Arcadyan製ソフトウェアを使用する多数のルーターが、本脆弱性の影響を受けます。
詳しくはCERT/CCが提供する情報、または発見者が提供する情報をご確認ください。

詳細情報

Arcadyan製ソフトウェアを使用する多数のルーターには、ディレクトリトラバーサルの脆弱性（CWE-22、CVE-2021-20090）が存在します。

想定される影響

遠隔の第三者により認証を回避され、有効なアクセストークンを含む機微な情報を閲覧される可能性があります。結果として、ルーターの設定が改ざんされる可能性があります。

対策方法

アップデートする
各開発者が提供する情報をもとに、ファームウェアを最新版にアップデートしてください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

  • WAN側の管理機能を無効にする
  • WAN上のWebインターフェイスを無効にする

ベンダ情報

ベンダ リンク
株式会社バッファロー 一部ルーター商品における複数の脆弱性とその対策方法

参考情報

  1. CERT/CC Vulnerability Note VU#914124
    Arcadyan-based routers and modems vulnerable to authentication bypass
  2. Tenable Advisory | TRA-2021-13
    Multiple Vulnerabilities in Buffalo and Arcadyan manufactured routers

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
基本値: 8.1

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2021/07/27
[ベンダ情報] を更新しました。