• ひとことでD-Link の無線アクセスポイントで、設定保存の画面から命令を送り込まれる弱点があります。
  • 深刻度7.8 重要CVSS v3.1
  • まずやることハードウェアのリビジョンをラベルで確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2019-20500
製品D-Link DWL-2600AP Access Point
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-06-29
米国政府機関の対応期限2023-07-20
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

D-Link の DWL-2600AP（無線 LAN のアクセスポイント）の Web 管理画面にある「設定の保存」機能に、OS コマンドインジェクションの弱点が見つかり、実際の悪用が確認されています。ログイン済みの攻撃者が、admin.cgi?action=config_save の configBackup や downloadServerip という項目に特別な記号を混ぜると、機器の OS に命令を実行させられます。NVD の評価では、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が Web 管理画面にログインする → 2. 設定の保存機能を呼び出す → 3. 項目に特別な記号と命令を混ぜる → 4. 機器の OS が命令を実行する1攻撃者が Web 管理画面にログインする2設定の保存機能を呼び出す3項目に特別な記号と命令を混ぜる4機器の OS が命令を実行する攻撃の流れ: 1. 攻撃者が Web 管理画面にログインする → 2. 設定の保存機能を呼び出す → 3. 項目に特別な記号と命令を混ぜる → 4. 機器の OS が命令を実行する1攻撃者が Web 管理画面にログインする2設定の保存機能を呼び出す3項目に特別な記号と命令を混ぜる4機器の OS が命令を実行する攻撃の流れ: 1. 攻撃者が Web 管理画面にログインする → 2. 設定の保存機能を呼び出す → 3. 項目に特別な記号と命令を混ぜる → 4. 機器の OS が命令を実行する1攻撃者が Web 管理画面にログインする2設定の保存機能を呼び出す3項目に特別な記号と命令を混ぜる4機器の OS が命令を実行する

誰が影響を受ける

D-Link DWL-2600AP を使っている人・組織が対象です。D-Link の公式情報では、ハードウェアの Revision A で、ファームウェアが 4.2.0.15 以前のものが影響を受けます。

何をすればいい

D-Link の公式の案内に従って、ファームウェアを修正版の v4.2.0.17 に更新してください。D-Link は、機器の底面のラベルなどでハードウェアのリビジョンを確かめてから、合ったファームウェアを入れるよう案内しています。

やることチェックリスト

  • ハードウェアのリビジョンをラベルで確かめる
  • ファームウェアを v4.2.0.17 に更新する
  • 更新後のファームウェアの版を確かめる

用語メモ

アクセスポイント
パソコンやスマートフォンを無線 LAN でネットワークにつなぐための機器です。
OS コマンドインジェクション 用語集で見る
入力欄などに命令を紛れ込ませて、機器の OS に実行させてしまう攻撃です。
ファームウェア 用語集で見る
機器の中に組み込まれて、機器を動かしているソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性D-Link DIR-823X（CVE-2025-29635）7.2 重要CVSS v3.1D-LinkのルーターDIR-823Xで、外部から任意のコマンドを実行される弱点です。同じ製品・メーカーの脆弱性D-Link Routers（CVE-2022-37055）9.8 緊急CVSS v3.1D-Link の古いルーターに、データのあふれによる弱点があります基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

D-Link DWL-2600AP Access Point Command Injection Vulnerability

概要

D-Link DWL-2600AP access point contains an authenticated command injection vulnerability via the Save Configuration functionality in the Web interface, using shell metacharacters in the admin.cgi?action=config_save configBackup or downloadServerip parameter.

推奨対応

Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.

この元データの出どころ: CISA KEV カタログで見る