Trusted Design

解説:

CVE-2021-27561は、Yealink Device Management (DM) に存在する深刻な脆弱性です。

1. 脆弱性の概要

Yealink Device Management (DM) のバージョン3.6.0.20において、認証なしでOSコマンドインジェクションの脆弱性が存在します。この脆弱性は、/sm/api/v1/firewall/zone/services URIを介して悪用され、攻撃者がサーバサイドリクエストフォージェリ (SSRF) を実行し、結果としてリモートから任意のコードを実行（RCE）できる可能性があります。

この脆弱性の根本原因は、Yealink Device Managementシステム内のユーザー入力が適切に検証されていないことにあります。この不備により、攻撃者はサーバ側のリクエストを偽造し、内部ネットワークまたはインターネットと対話し、サーバ上でコマンドを実行できる可能性があります。

1.1 影響

この脆弱性が悪用されると、リモートの認証されていない攻撃者がroot権限で任意のOSコマンドを実行できるようになります。 これにより、アプライアンスまたはホストの完全な乗っ取り、管理者権限の奪取、マルウェアやボットネットペイロードの展開、ファイアウォール関連設定の変更、永続性の確立、侵害されたシステムからの水平移動、およびサービスやデータの妨害または破壊につながる可能性があります。 また、機密情報の漏洩、情報の改ざん、およびサービス運用妨害 (DoS) 状態に陥る可能性もあります。

1.2 深刻度

• CVSS v3.1基本評価値: 9.8 (緊急 - CRITICAL)
  • 攻撃元区分: ネットワーク (Network)
  • 攻撃条件の複雑さ: 低 (Low)
  • 攻撃に必要な特権レベル: 不要 (None)
  • 利用者の関与: 不要 (None)
  • 機密性への影響: 高 (High)
  • 完全性への影響: 高 (High)
  • 可用性への影響: 高 (High)
• CVSS v2.0基本評価値: 10.0 (危険 - HIGH/CRITICAL)
• CISAの既知の悪用されている脆弱性カタログ (KEV) への登録: 2021年11月3日以降、KEVにリストされています。これは、この脆弱性が実際に悪用されていることを示します。
• EPSS (Exploit Prediction Scoring System) スコア: 0.82516（または82.9%）。これは、悪用される可能性が高いことを示します。

2. 対象となる環境

• 製品名: Yealink Device Management (DM)
• 脆弱なコンポーネント: /sm/api/v1/firewall/zone/services URIを介したファイアウォールゾーンサービスAPIエンドポイント。

2.1 影響を受けるOSバージョン

この脆弱性は、Yealink Device Managementシステム自体に影響を及ぼすものであり、基盤となる特定のOSバージョンが脆弱性の直接の原因として明示されている情報はありません。ただし、root権限でのコード実行が可能であることから、基盤OSが侵害される可能性があります。詳細なOSバージョンについては不明です。

2.2 影響を受ける設定

• バージョン: Yealink Device Management (DM) 3.6.0.20
• デフォルトでは、smserverデーモンが0.0.0.0:9600/tcpでrootとして実行されますが、通常はファイアウォールルールにより外部からの接続は許可されていません。

3. 影響を受けた時の兆候

• 通常とは異なる外部へのリクエスト（SSRF攻撃の兆候）。
• 予期しないコマンドの実行。
• （特にファイアウォール関連の）設定変更。
• 新たな特権プロセスが実行されている。
• マルウェア（Mirai亜種やKinsingコインマイナーなどのIoTマルウェア）の展開の兆候。

4. 推奨対策

4.1 本対策

• ベンダーから提供される、この脆弱性に対するセキュリティパッチを含む最新バージョンへのシステムアップデートを適用してください。
• 追加の強化策や設定変更については、ベンダーのセキュリティガイダンスを確認してください。
• ソフトウェアおよびファームウェアは常に最新の状態に保つことが重要です。

4.2 暫定回避策（緩和策）

パッチが適用されるまでの間、以下の緩和策を検討してください。

• Yealink Device Managementインターフェースおよび関連するAPIエンドポイントへのアクセスを、信頼できる管理ネットワークのみに制限してください。
• 可能な限り直接的なインターネットへの露出をなくし、ネットワーク層のアクセス制御を強制してください。
• サービスをVPNまたは同等の管理アクセスゲートウェイの背後に配置してください。
• SSRF攻撃を示す可能性のある、通常とは異なる外部へのリクエストを検出するための監視を実装してください。
• 侵害が疑われる場合は、システムを隔離し、インシデント対応を実施してください。

他に解説すべき観点

• 脆弱性タイプ: この脆弱性は、OSコマンドインジェクション (CWE-78) とサーバサイドリクエストフォージェリ (CWE-918) に分類されます。
• 実世界での悪用: この脆弱性は、実際に攻撃で悪用されていることが確認されています。

参照したサイト

• CVE-2021-27561: Uncovering the SSRF Vulnerability in Yealink Device Management
• CVE-2021-27561 - Vulnerabilities - INCIBE
• CVE-2021-27561 - Vulnerability Details - OpenCVE
• CVE-2021-27561 – Yealink Device Management Server-Side Request…
• Unauthenticated Command Injection in Yealink Device Management 3.6.0.20 (CVE-2021-27561) - Mallory.ai
• NVD-CVE-2021-27561 - NIST
• JVNDB-2021-013849 - JVN iPedia - 脆弱性対策情報データベース
• Unauthenticated Command Injection in Yealink Device Management 3.6.0.20 - Mallory.ai
• SSD Advisory – Yealink DM Pre Auth 'root' level RCE - SSD Secure Disclosure
• 2021年12月のセキュリティアップデート解説：「Log4Shell」など156件 - Trend Micro