Tenable a découvert une vulnérabilité qui existe depuis 12 ans dans les routeurs fabriqués par la société Arcadyan. Dans les routeurs Buffalo plus précisément, la société de recherche a constaté que la vulnérabilité nommée CVE-2021-20090 affectait beaucoup plus d'appareils, car la cause fondamentale de la vulnérabilité se trouve dans le firmware Arcadyan sous-jacent.

La vulnérabilité est une vulnérabilité de type "path traversal". Une exploitation réussie de cette vulnérabilité pourrait permettre à un attaquant d'accéder à des pages qui, autrement, nécessiteraient une authentification. Un attaquant non authentifié pourrait avoir accès à des informations sensibles, notamment des jetons de requête valides, qui pourraient être utilisés pour effectuer des requêtes visant à modifier les paramètres du routeur. Le chercheur de Tenable a initialement pensé que le problème était limité à un fabricant de routeurs et a publié ses résultats, mais il a ensuite découvert que le problème existait dans le logiciel basé sur Arcadyan utilisé dans les routeurs de plusieurs fournisseurs.

Deux autres vulnérabilités (CVE-2021-20091 " Configuration File Injection " et CVE-2021-20092 " Improper Access Control ") ont été confirmées uniquement dans les modèles Buffalo WSR-2533.

Le CERT/CC recommande de mettre à jour votre routeur avec la dernière version de firmware disponible. Il est également recommandé de désactiver les services d'administration à distance (côté WAN) sur tout routeur SoHo et de désactiver également l'interface web sur le WAN.