Crestron Multiple Products のコマンドインジェクションの脆弱性（CVE-2019-3929）

何が起きた

Crestron AirMedia など、会議室で画面を無線で映すための複数の機器で、file_transfer.cgi という窓口から OS の命令を送り込めてしまう弱点（コマンドインジェクション）が見つかりました。ログイン不要で、離れた場所から利用者の操作なしに悪用でき、機器の最高権限（root）で命令を実行される可能性があります。CISA の KEV に悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Crestron AM-100 firmware 1.6.0.2、Crestron AM-101 firmware 2.7.0.1、Barco wePresent WiPG-1000P firmware 2.3.0.10、Barco wePresent WiPG-1600W の firmware 2.4.1.19 より前、Extron ShareLink 200/250 firmware 2.0.3.4、Teq AV IT WIPS710 firmware 1.1.0.7、SHARP PN-L703WA firmware 1.4.2.3、Optoma WPS-Pro firmware 1.0.0.5、Blackbox HD WPS firmware 1.0.0.5、InFocus LiteShow3 firmware 1.0.16、InFocus LiteShow4 2.0.0.7 が影響を受けます。同じ仕組みを使った製品が多くのメーカーから出ています。

何をすればいい

使っている機器のメーカーの案内を確認し、ファームウェアを更新してください。Crestron は、AM-100/101 のファームウェア v.1.7.1.7_2.8.0.27 でこの問題を直したとしています。Barco wePresent WiPG-1600W は firmware 2.4.1.19 以降に更新してください。ほかの製品の修正版の番号は、このデータからは不明です。

やることチェックリスト

• AM-100/101 を v.1.7.1.7_2.8.0.27 に更新する
• WiPG-1600W を 2.4.1.19 以降に更新する
• ほかの機器もメーカーの更新版を入れる

用語メモ

コマンドインジェクション

入力の中に命令を紛れ込ませて、機器やサーバーに攻撃者の命令を実行させる攻撃です。

root

機器やサーバーの中で、何でもできるいちばん強い権限です。

ファームウェア

機器の中に組み込まれていて、機器を動かすためのソフトウェアです。