バッファローの複数のルータに脆弱性、ファームウェアの更新を

JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は4月27日、「JVNVU#99235714: バッファロー製ルータにおける複数の脆弱性」において、バッファローが提供している複数のルータのファームウェアに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、攻撃者によって対象機器の設定情報を窃取されたり、root権限で任意のコマンドを実行されたりする危険性がある。

今回報告されている脆弱性は次の2件。

CVE-2021-3511: リモートの第三者によって当該機器の設定情報等を窃取される
CVE-2021-3512: telnetサービスへのアクセス制限の不備によって、telnetサービスが有効化されてroot権限で任意のOSコマンドを実行される

影響を受ける製品およびファームウェアのバージョンは以下のとおりとなっている。

BHR-4GRV ファームウェア Ver.1.99 およびそれ以前
DWR-HP-G300NH ファームウェア Ver.1.83 およびそれ以前
HW-450HP-ZWE ファームウェア Ver.1.99 およびそれ以前
WHR-300HP ファームウェア Ver.1.99 およびそれ以前
WHR-300 ファームウェア Ver.1.99 およびそれ以前
WHR-G301N ファームウェア Ver.1.86 およびそれ以前
WHR-HP-G300N ファームウェア Ver.1.99 およびそれ以前
WHR-HP-GN ファームウェア Ver.1.86 およびそれ以前
WPL-05G300 ファームウェア Ver.1.87 およびそれ以前
WZR-450HP-CWT ファームウェア Ver.1.99 およびそれ以前
WZR-450HP-UB ファームウェア Ver.1.99 およびそれ以前
WZR-HP-AG300H ファームウェア Ver.1.75 およびそれ以前
WZR-HP-G300NH ファームウェア Ver.1.83 およびそれ以前
WZR-HP-G301NH ファームウェア Ver.1.83 およびそれ以前
WZR-HP-G302H ファームウェア Ver.1.85 およびそれ以前
WZR-HP-G450H ファームウェア Ver.1.89 およびそれ以前
WZR-300HP ファームウェア Ver.1.99 およびそれ以前
WZR-450HP ファームウェア Ver.1.99 およびそれ以前
WZR-600DHP ファームウェア Ver.1.99 およびそれ以前
WZR-D1100H ファームウェア Ver.1.99 およびそれ以前
FS-HP-G300N ファームウェア Ver.3.32 およびそれ以前
FS-600DHP ファームウェア Ver.3.38 およびそれ以前
FS-R600DHP ファームウェア Ver.3.39 およびそれ以前
FS-G300N ファームウェア Ver.3.13 およびそれ以前

いずれの製品も、ファームウェアを最新版にアップデートすることで問題は解消するという。ファームウェアはバッファローが提供している次のページよりダウンロードすることができる。

一部ルーター商品における複数の脆弱性とその対処方法 | バッファロー

一部ルーター商品における複数の脆弱性とその対処方法

また、JPCERT/CCは、「JVNVU#90274525: バッファロー製の複数のネットワーク機器においてデバッグ機能を有効化される問題」においてバッファロー製品の別の脆弱性についても報告している。こちらはリモートの第三者によって製品のデバッグ機能にアクセスされ、任意のOSコマンド実行や不正なコード実行、設定の変更、サービス拒否 (DoS) 攻撃等が行われる危険性があるというもの。影響を受ける製品については、上記JPCERT/CCのアドバイザリ、またはバッファローによる次のお知らせで確認いただきたい。