Dasan Gigabit Passive Optical Network (GPON) Routers のコマンドインジェクションの脆弱性（CVE-2018-10562）

何が起きた

Dasan の家庭向け GPON ルーターで、ping（通信確認）の機能に送る値に命令を紛れ込ませると、それが実行されてしまう弱点（コマンドインジェクション）が見つかりました。NVD の説明では、実行結果も攻撃者が取り出せます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。CISA によると、CVE-2018-10561 と組み合わせると遠隔からコードを実行でき、実際の悪用も確認されています。ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Dasan の GPON ルーターを使っている人や組織が対象です。影響を受けるバージョンは、このデータからは不明です。CISA は、この製品はサポートが終わっているとしています。

何をすればいい

CISA は、この製品はサポートが終わっているため、使い続けている場合は使用をやめるよう求めています。修正版の情報はこのデータからは不明なので、サポートが続いている別の機器への置き換えを検討してください。

やることチェックリスト

• Dasan の GPON ルーターを使っていないか調べる
• 対象のルーターの使用をやめる
• サポート中の別の機器に置き換える

用語メモ

GPON

光ファイバーを使ってインターネットにつなぐ方式の一つで、家庭向けの光回線などで使われます。

コマンドインジェクション 用語集で見る

入力の中に命令を紛れ込ませ、機器にその命令を実行させてしまう攻撃や弱点のことです。

ランサムウェア 用語集で見る

データを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。