NETGEAR DGN2200 Devices のOSコマンドインジェクションの脆弱性（CVE-2017-6334）

何が起きた

NETGEAR のルーター DGN2200 で、dnslookup.cgi という機能が、HTTP POST リクエストの host_name 欄に入れられた記号をそのまま OS のコマンドとして扱ってしまう弱点（OS コマンドインジェクション）が見つかりました。これにより、攻撃者が任意の OS コマンドを実行できます。NVD の評価では、ネットワーク経由で、一般利用者程度の権限でログインした攻撃者が悪用できるとされています。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ファームウェア 10.0.0.50 までの NETGEAR DGN2200 を使っている人が対象です。CISA は、この製品はサポートが終了した製品（エンドオブライフ）だとしています。

何をすればいい

CISA は、この製品はサポートが終了しているため、まだ使っている場合はネットワークから外すよう求めています。サポートが続いている別の機器への置き換えを進めてください。あわせて NETGEAR の公式の案内を確認してください。

やることチェックリスト

• DGN2200 を使っているか確かめる
• DGN2200 をネットワークから外す
• サポート中の別の機器に置き換える

用語メモ

OS コマンドインジェクション

入力欄などに命令文を紛れ込ませ、機器の基本ソフト（OS）に本来ない命令を実行させる攻撃です。

ファームウェア

ルーターなどの機器の中に組み込まれ、機器を動かしている基本のソフトウェアです。

エンドオブライフ

メーカーが製品のサポートや修正の提供を終えた状態のことです。