Reolink Multiple IP Cameras のOSコマンドインジェクションの脆弱性（CVE-2019-11001）

何が起きた

Reolink の複数の IP カメラで、ログイン済みの管理者権限を持つ利用者が「TestEmail」（メール送信のテスト）の機能に命令を紛れ込ませ、root（最高権限）で OS の命令を実行できる弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Reolink の RLC-410W、C1 Pro、C2 Pro、RLC-422W、RLC-511W を使っている人・組織が対象です。NVD の説明では、1.0.227 までのバージョンが影響を受けるとされています。修正されたバージョンは、このデータからは不明です。 Reolink の販売終了（EOL）の一覧では、C1 Pro、C2 Pro、RLC-422W は 2020年4月3日、RLC-410W は 2022年4月3日、RLC-511W は 2022年12月21日 に販売終了となっています。

何をすればいい

メーカーの公式の案内を確認し、対策があればそれに従ってください。CISA は、この製品はサポートが終わっている可能性があり、現在の対策が用意できない場合は使うのをやめるよう案内しています。

やることチェックリスト

• 対象のカメラの機種と版を確認する
• メーカーの対策があれば適用する
• 対策がなければカメラの利用を停止する

用語メモ

root

Linux などで、すべての操作ができる最高権限の利用者です。

IP カメラ

ネットワークにつないで映像を送る防犯カメラなどの機器です。