TVT NVMS-1000 のパストラバーサルの脆弱性（CVE-2019-20085）

何が起きた

TVT の機器で使われている NVMS-1000 というソフトに、ディレクトリトラバーサルの弱点が見つかりました。CISA と NVD によると、「GET /..」という形の要求を送ることで悪用されます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、被害者の操作なしに悪用でき、CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVMS-1000 を使っている TVT の機器の利用者が対象です。影響を受けるバージョンは、このデータからは不明です。

何をすればいい

CISA は、メーカーの案内に従って更新するよう求めています。NVMS-1000 を使っている機器がないかを確かめ、TVT が出している更新があれば適用してください。修正版の番号は、このデータからは不明です。あわせて、公式の案内を確認してください。

やることチェックリスト

• NVMS-1000 を使っている機器を洗い出す
• TVT が出している更新を確かめる
• 更新があれば機器に適用する

用語メモ

ディレクトリトラバーサル 用語集で見る

「..」などを使ってフォルダーの階層をさかのぼり、本来は見られないはずの場所のファイルに近づく攻撃です。