Grandstream UCM6200 のSQLインジェクションの脆弱性（CVE-2020-5722）

何が起きた

Grandstream の電話交換機 UCM6200 シリーズの HTTP の窓口に、SQL インジェクション（データベースへの命令を紛れ込ませる攻撃）の弱点が見つかり、実際に悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。NVD の説明によると、古い版では root（最も強い権限）としてコマンドを実行されるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、Grandstream UCM6200 シリーズの 1.0.20.17 より前が影響を受けます。NVD の説明では、1.0.19.20 より前では root としてコマンドを実行され、1.0.20.17 より前ではパスワード再発行のメールに HTML を入れ込まれるおそれがあるとされています。

何をすればいい

CVE の記録で影響を受けるのは 1.0.20.17 より前とされているため、1.0.20.17 以降に更新されているか確認してください。詳しくは Grandstream の公式の案内を確認してください。

やることチェックリスト

• UCM6200のファームウェアの版を確かめる
• 1.0.20.17以降に更新する
• 更新後の版を確かめる

用語メモ

SQL インジェクション

入力欄などにデータベースへの命令を紛れ込ませ、データを盗んだり書き換えたりする攻撃です。

root

Linux などで、何でもできる最も強い権限を持つ管理者の利用者です。