DD-WRT บัฟเฟอร์ล้นใน UPnP ถูกโจมตีจริง CVE-2021-27137

พอดีไล่ฟีด CISA KEV เจอประกาศ DD-WRT Stack-Based Buffer Overflow Vulnerability รหัส CVE-2021-27137 ซึ่งถูกเพิ่มเข้าบัญชีวันที่ 21 กรกฎาคม 2026 ช่องโหว่นี้ ถูกใช้โจมตีจริงแล้ว ผู้ดูแลเราเตอร์ที่ใช้ DD-WRT และเปิด UPnP ควรเช็กรุ่นเฟิร์มแวร์แล้วเร่งอัปเดต ตามข้อมูล KEV ที่ CISA เผยแพร่

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ตรวจเราเตอร์ DD-WRT ที่เปิด UPnP แล้วเร่งอัปเดต build ที่เก่ากว่า 45724 เป็นรุ่นที่มีแพตช์และรองรับอุปกรณ์ทันที เพราะมีการโจมตีจริงแล้ว

เกิดอะไรขึ้น

DD-WRT เป็นเฟิร์มแวร์ Linux สำหรับเราเตอร์และจุดกระจายสัญญาณไร้สาย ส่วน UPnP เป็นกลไกที่ช่วยให้อุปกรณ์ค้นหากันและใช้บริการบนเครือข่ายได้อัตโนมัติ ปัญหานี้อยู่ในส่วนรับคำขอค้นหาอุปกรณ์ของ UPnP ผู้โจมตีที่เข้าถึงบริการได้ส่งข้อมูลยาวผิดปกติจนบัฟเฟอร์ล้นได้ บริการอาจหยุดทำงาน หรือผู้โจมตีอาจรันโค้ดบนอุปกรณ์ได้ โดยไม่ต้องล็อกอินหรือรอให้ผู้ดูแลกดยืนยัน ตามประกาศของ SSD Secure Disclosure

ในเชิงเทคนิค จุดบกพร่องอยู่ที่การใช้ strcpy แบบไม่จำกัดความยาวในไฟล์ router/upnp/src/ssdp.c ผ่านฟังก์ชัน ssdp_msearch ซึ่งรับคำขอ M-SEARCH ระเบียน CVE จัดเป็น CWE-121 หรือบัฟเฟอร์ล้นบนสแตก และให้คะแนน CVSS 3.1 ที่ 8.1 ระดับสูง โดยระบุว่าการโจมตีมีความซับซ้อนสูง ตามระเบียน CVE ฉบับข้อมูลต้นทาง

เงื่อนไขสำคัญคือ ต้องเปิด UPnP ก่อน เพราะ DD-WRT ปิดบริการนี้ตามค่าเริ่มต้น เมื่อเปิดใช้ตามค่าปกติ บริการจะรับคำขอจากเครือข่ายภายในเท่านั้น ต้องระวังผู้โจมตีใน LAN ที่เข้าถึงบริการได้ การใช้รุ่นเก่าเพียงอย่างเดียวไม่ได้แปลว่าจะโจมตีจากอินเทอร์เน็ตได้ทุกเครื่อง ตามรายละเอียดในระเบียน CVE

ใครโดนและรุ่นที่แก้

ผู้พัฒนาระบุจุดแก้ไขเป็น changeset 45724 ในคำตอบที่ SSD เผยแพร่ และระเบียน CVE ระบุช่วงที่ได้รับผลกระทบตรงกัน ประกาศ SSD ยังเตือนให้นับอุปกรณ์ Buffalo ที่มาพร้อม DD-WRT อยู่ในกลุ่มที่ต้องตรวจสอบด้วย แต่ไม่ได้แจกแจงรุ่นเฟิร์มแวร์แก้ไขของ Buffalo แยกแต่ละอุปกรณ์ การเลือกไฟล์อัปเดตเลยต้องตรวจสอบรุ่นฮาร์ดแวร์ให้ตรง ตามข้อมูลรุ่นและคำตอบผู้พัฒนา

ต้องทำอะไร

เริ่มจากเปิดหน้าจัดการของเราเตอร์ ตรวจหมายเลข build และสถานะ UPnP หากยังเป็นรุ่นก่อน 45724 ให้เลือกเฟิร์มแวร์ที่มีแพตช์และรองรับรุ่นฮาร์ดแวร์จากช่องทางผู้พัฒนา สำรองค่าตั้งก่อนดำเนินการ แล้วอัปเดตตามขั้นตอนของอุปกรณ์ หลังอัปเดตให้ตรวจหมายเลข build อีกครั้ง รวมถึงทดสอบการเชื่อมต่อและบริการที่จำเป็น

ระหว่างรออัปเดต ถ้าไม่จำเป็นต้องใช้ UPnP ให้ปิดไว้ก่อน นี่เป็นคำแนะนำจากเงื่อนไขการโจมตีในระเบียน CVE ควรเช็กด้วยว่าบริการรับคำขอจากเครือข่ายไหน แล้วจำกัดเท่าที่จำเป็น จากนั้นยังต้องอัปเดตเฟิร์มแวร์

CISA ให้ตรวจร่องรอยการบุกรุกและแก้ตามคำแนะนำผู้พัฒนา วันครบกำหนดสำหรับหน่วยงานที่อยู่ภายใต้ข้อบังคับคือ 24 กรกฎาคม 2026 หากไม่มีมาตรการที่ใช้ได้ ให้หยุดใช้ผลิตภัณฑ์ ตามรายการ KEV ของ CISA

ส่วนตัวผมให้เร่งแพตช์ทันทีถ้าใช้ DD-WRT รุ่นที่กระทบและเปิด UPnP อยู่ ที่มา: CISA KEV — DD-WRT Stack-Based Buffer Overflow Vulnerability (CVE-2021-27137) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ