• ひとことでLGのNAS「N1A1」で、外から命令を実行される弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることN1A1のファームウェアのバージョンを調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2018-14839
製品LG N1A1 NAS
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-25
米国政府機関の対応期限2022-04-15
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

LG の NAS（ネットワークにつなぐファイル保存用の機器）N1A1 で、外部から命令を実行される弱点が見つかりました。NVD の説明では、パラメーター付きの HTTP の POST リクエストを送ることで、攻撃者が任意の（好きに選べる）プログラムを動かせます。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がN1A1をネットワーク上で見つける → 2. 細工したPOST リクエストを送る → 3. 機器の上で任意のプログラムが動く1攻撃者がN1A1をネットワーク上で見つける2細工したPOST リクエストを送る3機器の上で任意のプログラムが動く攻撃の流れ: 1. 攻撃者がN1A1をネットワーク上で見つける → 2. 細工したPOST リクエストを送る → 3. 機器の上で任意のプログラムが動く1攻撃者がN1A1をネットワーク上で見つける2細工したPOST リクエストを送る3機器の上で任意のプログラムが動く攻撃の流れ: 1. 攻撃者がN1A1をネットワーク上で見つける → 2. 細工したPOST リクエストを送る → 3. 機器の上で任意のプログラムが動く1攻撃者がN1A1をネットワーク上で見つける2細工したPOST リクエストを送る3機器の上で任意のプログラムが動く

誰が影響を受ける

LG N1A1 NAS を使っている人・組織が対象です。NVD のデータでは 3718.510 が影響を受けるとされています。修正されたバージョンは、このデータからは不明です。

何をすればいい

LG の公式の案内を確認し、修正や対策が出ていないか調べてください。修正されたバージョンはデータからは分かりません。CISA はメーカーの案内に従って更新することを求めています。

やることチェックリスト

  • N1A1のファームウェアのバージョンを調べる
  • メーカーの更新があれば適用する
  • 3718.510を使っていれば対策を検討する

用語メモ

NAS 用語集で見る
ネットワークにつないで、複数のパソコンからファイルを保存・共有できる機器です。
POST リクエスト 用語集で見る
Webの通信で、サーバーへデータを送るときの送り方の一つです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

LG N1A1 NAS Remote Command Execution Vulnerability

概要

LG N1A1 NAS 3718.510 is affected by a remote code execution vulnerability.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る