D-Link DCS-930L Devices のOSコマンドインジェクションの脆弱性（CVE-2016-11021）

何が起きた

D-Link のネットワークカメラ DCS-930L で、setSystemCommand という機能の SystemCommand パラメータに入れた値が、そのまま OS のコマンドとして実行されてしまう弱点（OS コマンドインジェクション）が見つかりました。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

D-Link DCS-930L を使っている人が対象です。NVD の説明では、2.12 より前のファームウェアが影響を受けます。CISA は、この製品はサポートが終了した製品（エンドオブライフ）だとしています。

何をすればいい

CISA は、この製品はサポートが終了しているため、まだ使っている場合はネットワークから外すよう求めています。NVD の説明では 2.12 より前が影響を受けるとされていますが、サポートが終わっている製品なので、サポートが続いている別の機器への置き換えを進めてください。あわせて D-Link の公式の案内を確認してください。

やることチェックリスト

• DCS-930L を使っているか確かめる
• DCS-930L をネットワークから外す
• サポート中の別のカメラに置き換える

用語メモ

OS コマンドインジェクション

入力欄などに命令文を紛れ込ませ、機器の基本ソフト（OS）に本来ない命令を実行させる攻撃です。

ファームウェア

カメラなどの機器の中に組み込まれ、機器を動かしている基本のソフトウェアです。

エンドオブライフ

メーカーが製品のサポートや修正の提供を終えた状態のことです。