D-Link DCS-930L Devices のOSコマンドインジェクションの脆弱性（CVE-2016-11021）

何が起きた

D-Link のネットワークカメラ DCS-930L で、setSystemCommand という機能の SystemCommand パラメータに入れた値が、そのまま OS のコマンドとして実行されてしまう弱点（OS コマンドインジェクション）が見つかりました。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

D-Link DCS-930L を使っている人が対象です。NVD の説明では、2.12 より前のファームウェアが影響を受けます。D-Link と CISA は、この製品はサポートが終了した製品（エンドオブライフ）だとしています。

何をすればいい

CISA は、この製品はサポートが終了しているため、まだ使っている場合は使うのをやめる（切り離す）よう求めています。D-Link も、DCS-930L はすべてのファームウェアでサポートが終わっていて修正版は出ないとし、使うのをやめるよう強く勧めています。サポートが続いている別の機器に置き換えてください。

やることチェックリスト

• DCS-930L を使っているか確かめる
• DCS-930L を使うのをやめる
• サポート中の別のカメラに置き換える

用語メモ

OS コマンドインジェクション 用語集で見る

入力欄などに命令文を紛れ込ませ、機器の基本ソフト（OS）に本来ない命令を実行させる攻撃です。

ファームウェア 用語集で見る

カメラなどの機器の中に組み込まれ、機器を動かしている基本のソフトウェアです。

エンドオブライフ

メーカーが製品のサポートや修正の提供を終えた状態のことです。