rConfig rConfig のOSコマンドインジェクションの脆弱性（CVE-2020-10221）

何が起きた

ネットワーク機器の設定を保存・管理するソフト rConfig に、OS コマンドインジェクション（送った文字がサーバーの命令として実行される弱点）が見つかりました。NVD の説明によると、lib/ajaxHandlers/ajaxAddTemplate.php に送る fileName という値に特別な記号を混ぜると、任意の OS の命令（攻撃者が好きに選べる命令）を実行できます。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つログイン済みの攻撃者が悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

rConfig を使ってネットワーク機器を管理している組織が対象です。NVD の説明では、rConfig の 3.94 までのバージョンが影響を受けるとされています。修正されたバージョンは、確かめられた情報からは不明です。

何をすればいい

使っている rConfig のバージョンを確かめてください。CISA は、メーカーの案内に従って更新するよう求めています。rConfig の公式の案内を確認し、3.94 より新しい修正済みのバージョンが出ていれば更新してください。

やることチェックリスト

• rConfig のバージョンを確かめる
• 3.94 以前なら修正版があるか調べる
• rConfig の更新を適用する

用語メモ

OS コマンドインジェクション

外から送った文字が、サーバーの命令としてそのまま実行されてしまう弱点です。

ログイン済み

IDとパスワードでサービスに入った状態のことです。

権限

その利用者が、システムの中で何をしてよいかの範囲のことです。