最近の脆弱性 › CVE-2019-20500
D-Link DWL-2600AP Access Point のコマンドインジェクションの脆弱性（CVE-2019-20500）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-20500 |
|---|---|
| 製品 | D-Link DWL-2600AP Access Point |
| 深刻度（CVSS） | 7.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-06-29 |
| 米国政府機関の対応期限 | 2023-07-20 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
D-Link の DWL-2600AP（無線 LAN のアクセスポイント）の Web 管理画面にある「設定の保存」機能に、OS コマンドインジェクションの弱点が見つかり、実際の悪用が確認されています。ログイン済みの攻撃者が、admin.cgi?action=config_save の configBackup や downloadServerip という項目に特別な記号を混ぜると、機器の OS に命令を実行させられます。NVD の評価では、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
D-Link DWL-2600AP を使っている人・組織が対象です。D-Link の公式情報では、ハードウェアの Revision A で、ファームウェアが 4.2.0.15 以前のものが影響を受けます。
何をすればいい
D-Link の公式の案内に従って、ファームウェアを修正版の v4.2.0.17 に更新してください。D-Link は、機器の底面のラベルなどでハードウェアのリビジョンを確かめてから、合ったファームウェアを入れるよう案内しています。
やることチェックリスト
- ハードウェアのリビジョンをラベルで確かめる
- ファームウェアを v4.2.0.17 に更新する
- 更新後のファームウェアの版を確かめる
用語メモ
- アクセスポイント
- パソコンやスマートフォンを無線 LAN でネットワークにつなぐための機器です。
- OS コマンドインジェクション
- 入力欄などに命令を紛れ込ませて、機器の OS に実行させてしまう攻撃です。
- ファームウェア
- 機器の中に組み込まれて、機器を動かしているソフトウェアです。
元データ（英語・CISA KEV より）
D-Link DWL-2600AP Access Point Command Injection Vulnerability
概要
D-Link DWL-2600AP access point contains an authenticated command injection vulnerability via the Save Configuration functionality in the Web interface, using shell metacharacters in the admin.cgi?action=config_save configBackup or downloadServerip parameter.
推奨対応
Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.