• ひとことでGrandstreamのUCM6200で、ログインなしにデータベースを操られる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることUCM6200のファームウェアの版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-5722
製品Grandstream UCM6200
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-01-28
米国政府機関の対応期限2022-07-28
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-89（SQLインジェクション）

何が起きた

Grandstream の電話交換機 UCM6200 シリーズの HTTP の窓口に、SQL インジェクション（データベースへの命令を紛れ込ませる攻撃）の弱点が見つかり、実際に悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。NVD の説明によると、古い版では root（最も強い権限）としてコマンドを実行されるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したHTTPのリクエストを送る → 2. データベースへの命令が紛れ込む → 3. rootとしてコマンドが実行される1攻撃者が細工したHTTPのリクエストを送る2データベースへの命令が紛れ込む3rootとしてコマンドが実行される攻撃の流れ: 1. 攻撃者が細工したHTTPのリクエストを送る → 2. データベースへの命令が紛れ込む → 3. rootとしてコマンドが実行される1攻撃者が細工したHTTPのリクエストを送る2データベースへの命令が紛れ込む3rootとしてコマンドが実行される攻撃の流れ: 1. 攻撃者が細工したHTTPのリクエストを送る → 2. データベースへの命令が紛れ込む → 3. rootとしてコマンドが実行される1攻撃者が細工したHTTPのリクエストを送る2データベースへの命令が紛れ込む3rootとしてコマンドが実行される

誰が影響を受ける

CVE の記録によると、Grandstream UCM6200 シリーズの 1.0.20.17 より前が影響を受けます。NVD の説明では、1.0.19.20 より前では root としてコマンドを実行され、1.0.20.17 より前ではパスワード再発行のメールに HTML を入れ込まれるおそれがあるとされています。

何をすればいい

CVE の記録で影響を受けるのは 1.0.20.17 より前とされているため、1.0.20.17 以降に更新されているか確認してください。詳しくは Grandstream の公式の案内を確認してください。

やることチェックリスト

  • UCM6200のファームウェアの版を確かめる
  • 1.0.20.17以降に更新する
  • 更新後の版を確かめる

用語メモ

SQL インジェクション 用語集で見る
入力欄などにデータベースへの命令を紛れ込ませ、データを盗んだり書き換えたりする攻撃です。
root 用語集で見る
Linux などで、何でもできる最も強い権限を持つ管理者の利用者です。

次に読む

基本の解説SQLインジェクションとは入力した文字がデータベースへの命令として扱われる脆弱性

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Grandstream Networks UCM6200 Series SQL Injection Vulnerability

概要

Grandstream UCM6200 series is vulnerable to an unauthenticated remote SQL injection via crafted HTTP request. Exploitation can allow for code execution as root.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る