Dasan Gigabit Passive Optical Network (GPON) Routers のコマンドインジェクションの脆弱性（CVE-2018-10562）

何が起きた

Dasan の家庭向け GPON ルーターで、ping（通信確認）の機能に送る値に命令を紛れ込ませると、それが実行されてしまう弱点（コマンドインジェクション）が見つかりました。実行結果も攻撃者が取り出せるとされています。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。CVE-2018-10561 と組み合わせると遠隔からコードを実行できるとされ、CISA は実際の悪用を確認しています。ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Dasan の GPON ルーターを使っている人や組織が対象です。影響を受けるバージョンは、このデータからは不明です。CISA は、この製品はサポートが終わっているとしています。

何をすればいい

CISA は、この製品はサポートが終わっているため、使い続けている場合はネットワークから外すよう求めています。修正版の情報はこのデータからは不明なので、使用をやめて置き換えることを検討してください。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• Dasan の GPON ルーターを使っていないか調べる
• 対象のルーターをネットワークから外す
• サポート中の別の機器に置き換える

用語メモ

GPON

光ファイバーを使ってインターネットにつなぐ方式の一つで、家庭向けの光回線などで使われます。

コマンドインジェクション

入力の中に命令を紛れ込ませ、機器にその命令を実行させてしまう攻撃や弱点のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。