CVE-2016-20017とは？D-Link DSL-2750B Devicesの脆弱性をわかりやすく解説

ひとことでD-LinkのDSL-2750Bで、ログインなしで外から命令を実行される弱点
深刻度9.8 緊急CVSS v3.1
まずやること本体ラベルでハードウェアリビジョンを確認する

基本情報（データから表示）

CVE番号	CVE-2016-20017
製品	D-Link DSL-2750B Devices
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-01-08
米国政府機関の対応期限	2024-01-29
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-77（コマンドインジェクション）

何が起きた

D-Link のルーター DSL-2750B で、ログイン用のプログラム login.cgi の cli という項目に命令を混ぜ込むと、機器に実行させてしまう弱点（コマンドインジェクション）が見つかりました。NVD の説明では、2016 年から 2022 年にかけて実際に悪用されたとされ、CISA も悪用を確認しています。ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ファームウェア 1.05 より前の D-Link DSL-2750B が影響を受けるとされています。一方、D-Link の案内では、影響を受けるのは米国外向けのハードウェアリビジョン Dx で、ファームウェア v1.04.xx 以前に限られ、ほかのリビジョン（T1/T2、Ax/Bx/Cx/Ex/Fx/Tx など）は影響を受けないとされています。

何をすればいい

まず本体のラベルや設定画面で、ハードウェアリビジョンを確認します。D-Link の案内では、Dx の機器は修正されたファームウェア v1.05 に更新するよう示されています。米国では通信事業者を通じて提供されているため、その通信事業者に問い合わせるよう案内されています。公式の案内を確認し、手元の機器に合ったファームウェアを使ってください。

やることチェックリスト

本体ラベルでハードウェアリビジョンを確認する
Dxの機器はファームウェアv1.05に更新する
米国では提供元の通信事業者に問い合わせる

用語メモ

コマンドインジェクション用語集で見る: 入力欄などに命令を紛れ込ませて、機器やサーバーに本来しない命令を実行させる攻撃です。
ファームウェア用語集で見る: ルーターなどの機器の中で動いている、機器を制御するためのソフトウェアです。
ハードウェアリビジョン: 同じ型番の機器でも、作られた時期などで中身が異なることを示す区別です。

次に読む

同じ製品・メーカーの脆弱性D-Link DIR-823X（CVE-2025-29635）7.2 重要CVSS v3.1D-LinkのルーターDIR-823Xで、外部から任意のコマンドを実行される弱点です。同じ製品・メーカーの脆弱性D-Link Routers（CVE-2022-37055）9.8 緊急CVSS v3.1D-Link の古いルーターに、データのあふれによる弱点があります基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

D-Link DSL-2750B Devices Command Injection Vulnerability

概要

D-Link DSL-2750B devices contain a command injection vulnerability that allows remote, unauthenticated command injection via the login.cgi cli parameter.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

D-Link DSL-2750B Devices のコマンドインジェクションの脆弱性（CVE-2016-20017）