LG N1A1 NAS のOSコマンドインジェクションの脆弱性（CVE-2018-14839）

何が起きた

LG の NAS（ネットワークにつなぐファイル保存用の機器）N1A1 で、外部から命令を実行される弱点が見つかりました。パラメーター付きの HTTP の POST リクエストを送ることで、攻撃者が任意の（好きに選べる）プログラムを動かせます。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

LG N1A1 NAS を使っている人・組織が対象です。NVD のデータでは 3718.510 が影響を受けるとされています。修正されたバージョンは、このデータからは不明です。

何をすればいい

LG の公式の案内を確認し、修正や対策が出ていないか調べてください。修正されたバージョンはデータからは分かりません。CISA はメーカーの案内に従って更新することを求めています。

やることチェックリスト

• N1A1のファームウェアのバージョンを調べる
• メーカーの更新があれば適用する
• 3718.510を使っていれば対策を検討する

用語メモ

NAS

ネットワークにつないで、複数のパソコンからファイルを保存・共有できる機器です。

POST リクエスト

Webの通信で、サーバーへデータを送るときの送り方の一つです。