CVE-2019-11001とは？Reolink の複数の IP カメラの脆弱性をわかりやすく解説

ひとことでReolink の複数のカメラで、メールのテスト機能から命令を実行される弱点です。
深刻度7.2 重要CVSS v3.1
まずやること対象のカメラの機種と版を確認する

基本情報（データから表示）

CVE番号	CVE-2019-11001
製品	Reolink Multiple IP Cameras
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-12-18
米国政府機関の対応期限	2025-01-08
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

Reolink の複数の IP カメラで、ログイン済みの管理者権限を持つ利用者が「TestEmail」（メール送信のテスト）の機能に命令を紛れ込ませ、root（最高権限）で OS の命令を実行できる弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Reolink の RLC-410W、C1 Pro、C2 Pro、RLC-422W、RLC-511W を使っている人・組織が対象です。NVD の説明では、1.0.227 までのバージョンが影響を受けるとされています。修正されたバージョンは、このデータからは不明です。 Reolink の販売終了（EOL）の一覧では、C1 Pro、C2 Pro、RLC-422W は 2020年4月3日、RLC-410W は 2022年4月3日、RLC-511W は 2022年12月21日に販売終了となっています。

何をすればいい

メーカーの公式の案内を確認し、対策があればそれに従ってください。CISA は、この製品はサポートが終わっている可能性があり、現在の対策が用意できない場合は使うのをやめるよう案内しています。

やることチェックリスト

対象のカメラの機種と版を確認する
メーカーの対策があれば適用する
対策がなければカメラの利用を停止する

用語メモ

root 用語集で見る: Linux などで、すべての操作ができる最高権限の利用者です。
IP カメラ: ネットワークにつないで映像を送る防犯カメラなどの機器です。

次に読む

同じ製品・メーカーの脆弱性Reolink RLC-410W IP Camera（CVE-2021-40407）7.2 重要CVSS v3.1Reolink のカメラ RLC-410W で、ネットワーク設定から命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Reolink Multiple IP Cameras OS Command Injection Vulnerability

概要

Reolink RLC-410W, C1 Pro, C2 Pro, RLC-422W, and RLC-511W IP cameras contain an authenticated OS command injection vulnerability. This vulnerability allows an authenticated admin to use the "TestEmail" functionality to inject and run OS commands as root.

推奨対応

The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

この元データの出どころ: CISA KEV カタログで見る

Reolink の複数の IP カメラのOSコマンドインジェクションの脆弱性（CVE-2019-11001）