D-Link DSL-2750B Devices のコマンドインジェクションの脆弱性（CVE-2016-20017）

何が起きた

D-Link のルーター DSL-2750B で、ログイン用のプログラム login.cgi の cli という項目に命令を混ぜ込むと、機器に実行させてしまう弱点（コマンドインジェクション）が見つかりました。NVD の説明では、2016 年から 2022 年にかけて実際に悪用されたとされ、CISA も悪用を確認しています。ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ファームウェア 1.05 より前の D-Link DSL-2750B が影響を受けるとされています。一方、D-Link の案内では、影響を受けるのは米国外向けのハードウェアリビジョン Dx で、ファームウェア v1.04.xx 以前に限られ、ほかのリビジョン（T1/T2、Ax/Bx/Cx/Ex/Fx/Tx など）は影響を受けないとされています。

何をすればいい

まず本体のラベルや設定画面で、ハードウェアリビジョンを確認します。D-Link の案内では、Dx の機器は修正されたファームウェア v1.05 に更新するよう示されています。米国では通信事業者を通じて提供されているため、その通信事業者に問い合わせるよう案内されています。公式の案内を確認し、手元の機器に合ったファームウェアを使ってください。

やることチェックリスト

• 本体ラベルでハードウェアリビジョンを確認する
• Dxの機器はファームウェアv1.05に更新する
• 米国では提供元の通信事業者に問い合わせる

用語メモ

コマンドインジェクション

入力欄などに命令を紛れ込ませて、機器やサーバーに本来しない命令を実行させる攻撃です。

ファームウェア

ルーターなどの機器の中で動いている、機器を制御するためのソフトウェアです。

ハードウェアリビジョン

同じ型番の機器でも、作られた時期などで中身が異なることを示す区別です。