• ひとことで会議室向けの画面共有機器など複数製品で、外から命令を実行される弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることAM-100/101 を v.1.7.1.7_2.8.0.27 に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2019-3929
製品Crestron Multiple Products
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-04-15
米国政府機関の対応期限2022-05-06
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）

何が起きた

Crestron AirMedia など、会議室で画面を無線で映すための複数の機器で、file_transfer.cgi という窓口から OS の命令を送り込めてしまう弱点（コマンドインジェクション）が見つかりました。ログイン不要で、離れた場所から利用者の操作なしに悪用でき、機器の最高権限（root）で命令を実行される可能性があります。CISA の KEV に悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が機器の file_transfer.cgi に接続する → 2. ログインせずに細工した要求を送る → 3. OS の命令が root の権限で実行される1攻撃者が機器の file_transfer.cgi に接続する2ログインせずに細工した要求を送る3OS の命令が root の権限で実行される攻撃の流れ: 1. 攻撃者が機器の file_transfer.cgi に接続する → 2. ログインせずに細工した要求を送る → 3. OS の命令が root の権限で実行される1攻撃者が機器の file_transfer.cgi に接続する2ログインせずに細工した要求を送る3OS の命令が root の権限で実行される攻撃の流れ: 1. 攻撃者が機器の file_transfer.cgi に接続する → 2. ログインせずに細工した要求を送る → 3. OS の命令が root の権限で実行される1攻撃者が機器の file_transfer.cgi に接続する2ログインせずに細工した要求を送る3OS の命令が root の権限で実行される

誰が影響を受ける

NVD によると、Crestron AM-100 firmware 1.6.0.2、Crestron AM-101 firmware 2.7.0.1、Barco wePresent WiPG-1000P firmware 2.3.0.10、Barco wePresent WiPG-1600W の firmware 2.4.1.19 より前、Extron ShareLink 200/250 firmware 2.0.3.4、Teq AV IT WIPS710 firmware 1.1.0.7、SHARP PN-L703WA firmware 1.4.2.3、Optoma WPS-Pro firmware 1.0.0.5、Blackbox HD WPS firmware 1.0.0.5、InFocus LiteShow3 firmware 1.0.16、InFocus LiteShow4 2.0.0.7 が影響を受けます。同じ仕組みを使った製品が多くのメーカーから出ています。

何をすればいい

使っている機器のメーカーの案内を確認し、ファームウェアを更新してください。Crestron は、AM-100/101 のファームウェア v.1.7.1.7_2.8.0.27 でこの問題を直したとしています。NVD の説明では、Barco wePresent WiPG-1600W は firmware 2.4.1.19 より前が対象なので、2.4.1.19 以降に更新してください。ほかの製品の修正版の番号は、このデータからは不明です。

やることチェックリスト

  • AM-100/101 を v.1.7.1.7_2.8.0.27 に更新する
  • WiPG-1600W を 2.4.1.19 以降に更新する
  • ほかの機器もメーカーの更新版を入れる

用語メモ

コマンドインジェクション 用語集で見る
入力の中に命令を紛れ込ませて、機器やサーバーに攻撃者の命令を実行させる攻撃です。
root 用語集で見る
機器やサーバーの中で、何でもできるいちばん強い権限です。
ファームウェア 用語集で見る
機器の中に組み込まれていて、機器を動かすためのソフトウェアです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Crestron Multiple Products Command Injection Vulnerability

概要

Multiple Crestron products are vulnerable to command injection via the file_transfer.cgi HTTP endpoint. A remote, unauthenticated attacker can use this vulnerability to execute operating system commands as root.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る