Nice Linear eMerge E3-Series のOSコマンドインジェクションの脆弱性（CVE-2019-7256）

何が起きた

Nice の Linear eMerge E3-Series に、外から OS への命令を差し込まれる弱点（OS コマンドインジェクション）が見つかりました。悪用されると、離れた場所からコードを実行されるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしに悪用できるとされています。実際の悪用も確認されています（CISA の KEV より）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CISA の勧告 ICSA-24-065-01 によると、Linear eMerge E3-Series の 1.00-06 以前が対象です。この製品を使っている組織が影響を受けます。

何をすればいい

Nice（Nortek）は、最新のファームウェアに更新するよう勧めていますが、修正版の番号はこのデータからは不明です。CISA の勧告によると、Nice は、機器をインターネットから接続できないようにする、ファイアウォールの内側に置いて他のネットワークから分ける、遠くから操作するときは VPN などの安全な方法を使う、初期設定のパスワードと IP アドレスを変えることも勧めています。メーカーの公式の案内を確認し、分からない点はメーカーに相談してください。

やることチェックリスト

• ファームウェアを最新版に更新する
• 機器をインターネットから接続できなくする
• 初期設定のパスワードを変更する

用語メモ

OS コマンドインジェクション 用語集で見る

入力に OS への命令を混ぜ込み、機器に本来は実行しない命令を実行させる攻撃です。

ファームウェア 用語集で見る

機器の中に組み込まれ、機器を動かすための基本的なソフトウェアです。

VPN 用語集で見る

インターネット上に暗号化された専用の通り道を作り、安全に通信するための仕組みです。