NUUO NVRmini Devices のOSコマンドインジェクションの脆弱性（CVE-2018-14933）

何が起きた

NUUO の録画機 NVRmini の upgrade_handle.php で、writeuploaddir という命令の uploaddir の値に特殊な記号を混ぜると、遠隔から OS の命令を実行できる弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NUUO の NVRmini を使っている人・組織が対象です。影響を受けるバージョンは、このデータからは不明です。CISA によると、この製品はサポートが終わっています。NUUO のお知らせでは、NVRmini 2 は 2020年3月15日で販売終了となり、ソフトウェアの技術サポートは 2022年1月1日までとされていました。

何をすればいい

CISA は、この製品はサポートが終わっているため、使うのをやめるよう案内しています。NUUO は、NVRmini 2 の後継として NVRmini 3 を挙げています。NVRmini を使い続けず、サポートが続いている製品への置き換えを進めてください。

やることチェックリスト

• NVRmini を使っているか確認する
• NVRmini の利用を停止する
• サポート中の製品への置き換えを計画する

用語メモ

録画機

防犯カメラの映像をネットワーク経由で受け取って保存する機器です。

特殊な記号

OS への命令の区切りなどに使われる記号（; や | など）のことで、入力に混ぜると別の命令を実行させられることがあります。