D-Link DIR-859 Router のOSコマンドインジェクションの脆弱性（CVE-2019-17621）

何が起きた

D-Link の Wi-Fi ルーター DIR-859 で、UPnP という機能の /gena.cgi という入り口に、外から送られた値をそのまま命令として実行してしまう弱点が見つかりました。細工した HTTP の SUBSCRIBE という要求を送るだけで、ログインしていない攻撃者が、ルーターの最高権限（root）で好きな命令を動かせます。NVD の評価では、ネットワーク経由で、権限も利用者の操作もなしに悪用できるとされています。一方、D-Link は、攻撃者がルーターの内側（LAN 側）に入れる必要があると説明しています。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

D-Link の DIR-859（ハードウェアの Ax 版）を使っている人が対象です。NVD の説明では、ファームウェアの 1.05 と 1.06B01 Beta01 が影響を受けます。D-Link の案内では、v1.06b01Beta01 とそれより古いファームウェアが対象です。

何をすればいい

D-Link は、DIR-859 向けに修正したベータ版のファームウェア v1.07b03_beta を出しています。この修正は2回に分けて更新する必要があり、1回目に DIR859_FW107b02beta01_20190125_j1o9_middle.bin、2回目に DIR859_FW107b03_jbli_beta.bin を、ルーターの設定画面から入れます。D-Link の公式の案内を確認し、手順どおりに更新されているか確かめてください。D-Link は、同じ案内に載っている機種の多くがサポート終了（EOS／EOL）になっていると説明しています。CISA は、更新できない場合は製品の使用をやめるよう勧めています。

やることチェックリスト

• DIR-859 のファームウェアの版を確かめる
• 2つの更新ファイルを順番に入れて更新する
• 更新できないなら機器の使用をやめる

用語メモ

UPnP

ネットワーク内の機器どうしが、自動で見つけ合ったり設定し合ったりするためのしくみです。

root

その機器の中で何でもできる、いちばん強い権限です。

ファームウェア

ルーターなどの機器を動かすために、機器の中に入っている基本のソフトウェアです。

LAN

家庭や会社の中だけでつながっている、内側のネットワークのことです。