JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は11月30日、「JVN#88993473: 複数のエレコム製 LAN ルーターにおける複数の脆弱性」および「JVNVU#94527926: エレコム製ルータにおける複数の脆弱性」において、エレコムが提供している複数のルータ製品に報告された脆弱性に対する警告を行った。

これらの脆弱性を悪用されると、攻撃者によって対象のシステム上で任意のOSコマンドやスクリプトを実行、ログイン認証の回避、不正な設定の変更などを行われる可能性がある。開発元のエレコムからは次のセキュリティ情報が提供されている。

  • 無線LANルーターのセキュリティ向上のためのファームウェアアップデートのお願い

    無線LANルーターのセキュリティ向上のためのファームウェアアップデートのお願い

今回報告されている脆弱性では、次のようなの影響を受ける可能性があるされている。

  • 対象の製品の管理画面にログインできる隣接するネットワーク上の第三者によって、任意のOSコマンドが実行される(CVE-2021-20852、CVE-2021-20853、CVE-2021-20854)
  • 対象の製品にログインしているユーザのWebブラウザ上で任意のスクリプトが実行される(CVE-2021-20855、CVE-2021-20856、CVE-2021-20857、CVE-2021-20858)
  • 対象の製品にログインできる隣接するネットワーク上の第三者によって、任意のOSコマンドが実行される(CVE-2021-20859)
  • 対象の製品にログインした状態のユーザが細工されたページにアクセスした場合に、意図しない操作をさせられる(CVE-2021-20860)
  • 隣接するネットワーク上の第三者によって認証なしで管理画面にアクセスされる(CVE-2021-20861)
  • 隣接するネットワーク上の第三者によって対象の製品で用いられているCSRFトークンを不正に取得され、設定を変更させられる(CVE-2021-20862)
  • 対象の製品の管理画面にアクセス可能な第三者によって、root権限で任意のOSコマンドを実行される(CVE-2021-20863)
  • 隣接するネットワーク上の第三者によって、対象の製品のtelnetサービスを有効化され、root権限で任意のOSコマンドを実行される(CVE-2021-20864)

影響を受ける製品名やバージョンについては、エレコムのセキュリティ情報を参照いただきたい。いずれの脆弱性もファームウェアを最新版にアップデートすることで影響を回避できるという。脆弱性の一部は深刻度が「重要(Important)」に分類されており、できるだけ早急に対処することが推奨される。