Zyxel Multiple Network-Attached Storage (NAS) Devices のOSコマンドインジェクションの脆弱性（CVE-2020-9054）

何が起きた

Zyxel のネットワークにつなぐ記憶装置（NAS）で、ログインを受け付ける weblogin.cgi が、利用者名の入力を正しく確かめていない弱点が見つかりました。入力に命令を紛れ込ませると、機器の上で任意の（攻撃者が好きに選べる）コードを実行され、root（最も強い権限）で動かされるおそれがあります。実際の悪用も確認されています。NVD の評価では、攻撃者はネットワーク経由で離れた場所から、ログインなしで悪用できます。NVD の説明では、機器に直接つながらなくても、機器に届くパソコンで Web サイトを見ただけで乗っ取られる場合があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ファームウェア 5.21 を動かす NAS326、NAS520、NAS540、NAS542 が対象です。NSA210、NSA220、NSA220+、NSA221、NSA310、NSA310S、NSA320、NSA320S、NSA325、NSA325v2 も影響を受けますが、サポートが終わっている機種です。

何をすればいい

CVE の記録によると、Zyxel は NAS326、NAS520、NAS540、NAS542 向けに更新版のファームウェアを出しています。これらの機種は更新されているか確認してください。CVE の記録では、修正が出ない機種や、すぐに更新できない場合は、ファイアウォールなどで機器の管理画面（80/tcp と 443/tcp）への接続を止めてください。管理画面に接続できるパソコンは、インターネットにつながらないようにすることや、機器をインターネットに直接さらさないことも案内されています。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• NAS326 などを更新版ファームウェアにする
• 管理画面への 80/tcp と 443/tcp を遮断する
• NAS をインターネットに直接さらさない

用語メモ

NAS

ネットワークにつないで、複数のパソコンからファイルを保存・共有できる記憶装置です。

root

Linux などで、すべての操作ができる最も強い権限を持つ利用者です。

ファームウェア

機器の中に入っていて、機器を動かす基本のソフトウェアです。