CVE-2020-25506とは？D-Link DNS-320 Deviceの脆弱性をわかりやすく解説

ひとことでD-Link の NAS DNS-320 で、外から命令を実行される弱点です。サポートは終了しています。
深刻度9.8 緊急CVSS v3.1
まずやることDNS-320 Rev. Ax を使っているか確かめる

基本情報（データから表示）

CVE番号	CVE-2020-25506
製品	D-Link DNS-320 Device
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

D-Link の NAS（ネットワークにつなぐファイル置き場）DNS-320 の system_mgr.cgi という部分に、外から命令を注入できる弱点が見つかりました。悪用されると、離れた場所から任意の（攻撃者が好きに選べる）コードを実行される可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

D-Link DNS-320 のハードウェア Rev. Ax を使っている人や組織が対象です。NVD の説明では、ファームウェア v2.06B01 が影響を受けるとされています。D-Link によると、この機種はサポートが終わっていて、修正は出ません。

何をすればいい

D-Link は、DNS-320 Rev. Ax を使っている人に、すぐに使うのをやめて別の機器に置き換えるよう勧めています。置き換えるまでの間は、D-Link の案内どおり NAS のインターネット接続を切ってください。D-Link の公式の案内を確認し、手元の機器が対象か確かめてください。

やることチェックリスト

DNS-320 Rev. Ax を使っているか確かめる
NAS のインターネット接続を切る
DNS-320 をやめて別の機器に置き換える

用語メモ

NAS 用語集で見る: ネットワークにつないで、複数のパソコンからファイルを保存したり共有したりできる機器です。
ファームウェア用語集で見る: 機器の中に入っていて、機器を動かすための基本のソフトウェアです。
サポートが終わって: メーカーが修正や問い合わせ対応をやめた状態のことで、新しい弱点が見つかっても直されません。

次に読む

同じ製品・メーカーの脆弱性D-Link DIR-823X（CVE-2025-29635）7.2 重要CVSS v3.1D-LinkのルーターDIR-823Xで、外部から任意のコマンドを実行される弱点です。同じ製品・メーカーの脆弱性D-Link Routers（CVE-2022-37055）9.8 緊急CVSS v3.1D-Link の古いルーターに、データのあふれによる弱点があります基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

D-Link DNS-320 Device Command Injection Vulnerability

概要

D-Link DNS-320 device contains a command injection vulnerability in the sytem_mgr.cgi component that may allow for remote code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

D-Link DNS-320 Device のコマンドインジェクションの脆弱性（CVE-2020-25506）