最近の脆弱性 › CVE-2018-9276

Paessler PRTG Network Monitor のOSコマンドインジェクションの脆弱性（CVE-2018-9276）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2018-9276
製品	Paessler PRTG Network Monitor
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-02-04
米国政府機関の対応期限	2025-02-25
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78

何が起きた

監視ソフトの PRTG Network Monitor に、OS コマンドインジェクションの弱点が見つかりました。センサーや通知の設定に細工した値を送ると、サーバーや監視先の機器で OS の命令を動かされるおそれがあります。NVD の評価では、管理者の権限で PRTG System Administrator の管理画面に入れる攻撃者が、ネットワーク経由で悪用できるとされています。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、PRTG Network Monitor の 18.2.39 より前のバージョンが対象です。NVD の製品の設定では、これに加えて 19.3.52 より後で 21.2.68 より前のバージョンも影響を受けるものとして登録されています。

何をすればいい

18.2.39 より前のバージョンを使っている場合は更新してください。NVD の登録では 21.2.68 より前の一部の版も対象になっているため、21.2.68 以降になっているかも確認してください。Paessler の公式の案内も確認してください。

やることチェックリスト

PRTG Network Monitor の版を確認する
21.2.68 以降に更新する
更新後に版が上がったことを確認する

用語メモ

OS コマンドインジェクション: 入力の中に OS への命令を紛れ込ませ、サーバーに実行させてしまう攻撃です。
センサー: PRTG で、監視したい機器や項目ごとに設定する監視の単位です。

元データ（英語・CISA KEV より）

Paessler PRTG Network Monitor OS Command Injection Vulnerability

概要

Paessler PRTG Network Monitor contains an OS command injection vulnerability that allows an attacker with administrative privileges to execute commands via the PRTG System Administrator web console.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.