RTシリーズのセキュリティーに関するFAQ

「ヤマハ製のルーターにおける複数の脆弱性」について

概要

JPCERT/CC より以下の新たな脆弱性が報告されました。

この脆弱性の影響を受けるヤマハネットワーク製品があることが分かりました。

（✔：該当、−：非該当)
JVN No. CVE No. ルーター/
ファイアウォール		 UTMアプライアンス 無線LANアクセスポイント L2/L3スイッチ
JVNVU#91161784 CVE-2021-20843
CVE-2021-20844
 ✔ ― ― ―

対策方法につきましては以下をご確認ください。

○ヤマハ ルーター および ファイアウォール について

脆弱性と概要

ヤマハルーターの Web GUI が以下の脆弱性の影響を受け、意図しない機能を実行させられる可能性があります。

  1. XSSI (クロスサイトスクリプトインクルージョン)
  2. HTTPレスポンスヘッダインジェクション

本脆弱性を使用することによる想定される主な影響としては以下となります。
管理者が「ルーターのGUIページを開いている」時に「ルーターの外部にあるXSSI攻撃が仕込まれた罠ページ」へアクセスする事で、ルーターの設定を攻撃者の意図した内容へ変更することが出来ます。

対象となる機種およびファームウェア

機種 該当ファームウェア
RTX830 Rev.15.02.17 以前
NVR510 Rev.15.01.18 以前
NVR700W Rev.15.00.19 以前
RTX1210 Rev.14.01.38 以前

　　注：表に記載していない機種は全て非該当です。

対策

この脆弱性への対策をした以下のファームウェアへのリビジョンアップをお願いします。

機種 対策済みファームウェア
RTX830 Rev.15.02.20
NVR510 Rev.15.01.21
NVR700W Rev.15.00.22
RTX1210 Rev.14.01.40

回避策

脆弱性の対策済みファームウェアの使用が困難な場合、以下のいずれかの方法で回避することができます。

○ヤマハ UTMアプライアンスについて

ヤマハ UTMアプライアンスはこの脆弱性の影響を受けません。


○ヤマハ 無線LANアクセスポイントについて

ヤマハ 無線LANアクセスポイントはこの脆弱性の影響を受けません。


○ヤマハ L2/L3スイッチについて

ヤマハ L2/L3スイッチはこの脆弱性の影響を受けません。


関連情報

更新履歴

2021/11/09 : 公開
2021/11/26 : 概要の説明文を修正した。対象となる機種の表の下に注釈を追記した
[ FAQ for RT-Series ]
[ FAQ for Security / Intro / Install / Config ]