情報取得日: 2026/07/21／最終確認: 2026/07/23・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2021-27137 |
|---|---|
| 製品 | DD-WRT / DD-WRT（45724 より前のビルド） |
| CVSS | 8.1（High） CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-121（スタックベースのバッファオーバーフロー） |
| 登録／公開日 | 2026/07/21 |
| KEV 期限 | 2026/07/24 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの手順に従って緩和策を適用する（CISA BOD 26-04 に基づくリスク優先のセキュリティ更新に準拠）。緩和が不可能な場合は製品の使用を中止する。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2021-27137 |
ルーター向けファームウェア DD-WRT の UPnP 処理（router/upnp/src/ssdp.c）に、境界を確認しない strcpy が残っており、未認証のリモート攻撃者が M-SEARCH リクエストを送るだけで内部の固定長バッファを溢れさせられる。到達経路は ssdp_msearch で、成功するとコード実行に至る。CVSS 3.1 基本値は 8.1、ベクタは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。前提条件として DD-WRT 側で UPnP が有効になっている必要があり、既定では無効かつ内部インターフェースのみで待ち受ける設定である（AC:H はこの条件を反映している）。CVE 番号自体は2021年のものだが、CISA は2026年7月21日に KEV へ追加しており、是正期限は2026年7月24日と短い。報道では、この欠陥を用いて広がる IoT ボットネット（C0xmo）が、感染したルーター上で競合するマルウェアを排除する挙動を持つと伝えられている。修正は DD-WRT のリビジョン 45724 で入っている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 情報確認中 |
AWS のマネージドサービスに DD-WRT は含まれない。対象はオンプレミス／拠点に設置された物理ルーターである。
拠点から AWS へ VPN を張っている場合、その拠点ルーターが DD-WRT なら経路の入口として影響する。
参照リンク
|
| GCP | 情報確認中 |
GCP 側に対象コンポーネントは無い。拠点側ルーターの更新で対処する。
Cloud VPN の対向が DD-WRT ルーターの場合は同様に拠点側の問題として扱う。
参照リンク
|
| Azure | 情報確認中 |
Azure 側に対象コンポーネントは無い。拠点側ルーターの更新で対処する。
オンプレミス機器の更新はいずれのクラウドでも利用者責任になる。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
DD-WRT をリビジョン 45724 以降のビルドへ更新する。更新までの暫定策として UPnP を無効化する（既定は無効）。
DD-WRT は Linux ベースだが、ディストリビューションのパッケージ管理では配布されない。ベンダーのビルドを適用する。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
まず自組織・自宅で DD-WRT を載せたルーターが動いていないかを洗い出す。個人所有の機器が業務ネットワークの入口になっている場合もあるため、資産台帳に載っていない機器まで確認する。次に UPnP の設定を見て、使っていなければ無効化する。既定は無効なので、有効になっている機器は誰かが意図的に、あるいは古い設定を引き継いで有効化している。UPnP を無効にすれば到達経路そのものが消えるため、ファームウェア更新までの暫定策として有効である。そのうえで DD-WRT を 45724 以降のビルドへ更新する。KEV の是正期限が追加からわずか3日と極端に短いことは、CISA が現に広がっている攻撃と見ていることを示しているので、次回のメンテナンス枠を待たずに動かすべき事案として扱う。WAN 側から UPnP ポートに到達できる状態になっていないかも合わせて確認する。
High（CVSS 8.1）に分類されるDD-WRT DD-WRT（45724 より前のビルド）の脆弱性です。ルーター向けファームウェア DD-WRT の UPnP 処理（router/upnp/src/ssdp.c）に、境界を確認しない strcpy が残っており、未認証のリモート攻撃者が M-SEARCH リクエストを送るだけで内部の固定長バッファを溢れさせられる。到達経路は ssdp_msearch で、成功するとコード実行に至る。CVSS 3.1 基本値は 8.1、ベクタは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。前提条件として DD-WRT 側で UPnP が有効になっている必要があり、既定では無効かつ内部インターフェースのみで待ち受ける設定である（AC:H はこの条件を反映している）。CVE 番号自体は2021年のものだが、CISA は2026年7月21日に KEV へ追加しており、是正期限は2026年7月24日と短い。報道では、この欠陥を用いて広がる IoT ボットネット（C0xmo）が、感染したルーター上で競合するマルウェアを排除する挙動を持つと伝えられている。修正は DD-WRT のリビジョン 45724 で入っている。
まず自組織・自宅で DD-WRT を載せたルーターが動いていないかを洗い出す。個人所有の機器が業務ネットワークの入口になっている場合もあるため、資産台帳に載っていない機器まで確認する。次に UPnP の設定を見て、使っていなければ無効化する。既定は無効なので、有効になっている機器は誰かが意図的に、あるいは古い設定を引き継いで有効化している。UPnP を無効にすれば到達経路そのものが消えるため、ファームウェア更新までの暫定策として有効である。そのうえで DD-WRT を 45724 以降のビルドへ更新する。KEV の是正期限が追加からわずか3日と極端に短いことは、CISA が現に広がっている攻撃と見ていることを示しているので、次回のメンテナンス枠を待たずに動かすべき事案として扱う。WAN 側から UPnP ポートに到達できる状態になっていないかも合わせて確認する。
DD-WRT DD-WRT（45724 より前のビルド） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-27137）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/07/24 です。推奨される対応: ベンダーの手順に従って緩和策を適用する（CISA BOD 26-04 に基づくリスク優先のセキュリティ更新に準拠）。緩和が不可能な場合は製品の使用を中止する。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/23）。