JVNVU#91161784
ヤマハ製のルーターにおける複数の脆弱性

ヤマハ株式会社が提供する複数のルーターには、複数の脆弱性が存在します。

• RTX830 Rev.15.02.17およびそれ以前
• NVR510 Rev.15.01.18およびそれ以前
• NVR700W Rev.15.00.19およびそれ以前
• RTX1210 Rev.14.01.38およびそれ以前

ヤマハ株式会社が提供する複数のルーターには、次の複数の脆弱性が存在します。

• クロスサイトスクリプトインクルージョン（CWE-829）- CVE-2021-20843

  CVSS v3

  CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:N

  基本値: 4.8

• HTTPレスポンスヘッダインジェクション（CWE-644）- CVE-2021-20844

  CVSS v3

  CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:N

  基本値: 3.7

想定される影響は各脆弱性により異なりますが、当該製品のWeb GUIにログインした状態のユーザーが、攻撃者の作成した罠ページにアクセスすることで、次のような影響を受ける可能性があります。

• 製品の設定情報が変更される - CVE-2021-20843, CVE-2021-20844
• 機微な情報を窃取される - CVE-2021-20844

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正したバージョンをリリースしています。

• RTX830 Rev.15.02.20
• NVR510 Rev.15.01.21
• NVR700W Rev.15.00.22
• RTX1210 Rev.14.01.40

ワークアラウンドを実施する
対策を行ったファームウェアが入手できない、あるいは適用が困難な場合は、次のいずれかのワークアラウンドを実施することで本脆弱性の影響を回避することが可能です。

• httpd service offを設定し、HTTPサーバー機能を無効にする
• httpd host noneを設定し、全てのホストからのGUI設定画面へのアクセスを禁止する