CVEノート

最近の脆弱性 › CVE-2020-25506

D-Link DNS-320 Device のコマンドインジェクションの脆弱性（CVE-2020-25506）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2020-25506
製品D-Link DNS-320 Device
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78

何が起きた

D-Link の NAS（ネットワークにつなぐファイル置き場）DNS-320 の system_mgr.cgi という部分に、外から命令を注入できる弱点が見つかりました。悪用されると、離れた場所から任意の（攻撃者が好きに選べる）コードを実行される可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が NAS に接続する → 2. system_mgr.cgi に命令を混ぜて送る → 3. NAS の上で命令が実行される1攻撃者が NAS に接続する2system_mgr.cgi に命令を混ぜて送る3NAS の上で命令が実行される攻撃の流れ: 1. 攻撃者が NAS に接続する → 2. system_mgr.cgi に命令を混ぜて送る → 3. NAS の上で命令が実行される1攻撃者が NAS に接続する2system_mgr.cgi に命令を混ぜて送る3NAS の上で命令が実行される

誰が影響を受ける

D-Link DNS-320 のハードウェア Rev. Ax を使っている人や組織が対象です。NVD の説明では、ファームウェア v2.06B01 が影響を受けるとされています。D-Link によると、この機種はサポートが終わっていて、修正は出ません。

何をすればいい

D-Link は、DNS-320 Rev. Ax を使っている人に、すぐに使うのをやめて別の機器に置き換えるよう勧めています。置き換えるまでの間は、D-Link の案内どおり NAS のインターネット接続を切ってください。D-Link の公式の案内を確認し、手元の機器が対象か確かめてください。

やることチェックリスト

用語メモ

NAS
ネットワークにつないで、複数のパソコンからファイルを保存したり共有したりできる機器です。
ファームウェア
機器の中に入っていて、機器を動かすための基本のソフトウェアです。
サポートが終わって
メーカーが修正や問い合わせ対応をやめた状態のことで、新しい弱点が見つかっても直されません。

元データ（英語・CISA KEV より）

D-Link DNS-320 Device Command Injection Vulnerability

概要

D-Link DNS-320 device contains a command injection vulnerability in the sytem_mgr.cgi component that may allow for remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報