D-Link DSL-2760U のクロスサイトスクリプティングの脆弱性（CVE-2013-5223）

何が起きた

D-Link の ADSL ルーター DSL-2760U の設定画面（Web の管理画面）に、クロスサイトスクリプティングの弱点が複数見つかりました。設定画面の入力欄に細工した文字列を入れると、任意のスクリプトや HTML（攻撃者が好きに選べる内容）を埋め込まれる可能性があります。NVD の評価では、離れた場所から一般利用者程度の権限を持つ攻撃者が悪用でき、被害者の操作も必要です。実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

D-Link DSL-2760U Gateway (Rev. E1) を使っている人や組織が対象です。D-Link の勧告では、ハードウェアのバージョン E1 で、ファームウェアが v1.12 より前のものが影響を受けるとしています。また、悪用されると、ログイン中の管理画面のセッションを使って設定を変えられたり、機器が不安定になったりするおそれがあると説明しています。

何をすればいい

D-Link の勧告では、この弱点を直したファームウェア v1.12 を示し、関係する更新を入れるよう強く勧めています。更新は、ルーターの設定画面のメニューの Maintanence、System、Upgrade Firmware から行えます。ハードウェアのバージョンによって入れるファームウェアが違うため、本体の裏のラベルなどでバージョンを確かめてください。あわせて勧告では、リモート管理機能（インターネット側から設定画面に入れる機能）を有効にしないこと、弱点に関する心当たりのないメールのリンクは開かないこと、管理者のパスワードを他人に教えないことも案内しています。

やることチェックリスト

• ファームウェアを v1.12 以降に更新する
• ルーターのリモート管理機能を無効のままにする
• 心当たりのないメールのリンクは開かないようにする

用語メモ

クロスサイトスクリプティング

Web ページに不正なスクリプトを埋め込み、そのページを見た人のブラウザーで動かす攻撃です。

リモート管理機能

家や会社の外のインターネット側から、ルーターの設定画面に入れるようにする機能です。

ファームウェア

ルーターなどの機器の中に組み込まれて、機器を動かしているソフトウェアです。