Hikvision Security cameras web server のOSコマンドインジェクションの脆弱性（CVE-2021-36260）

何が起きた

CVE の記録（Hikvision が登録）によると、Hikvision の一部の製品のウェブサーバーで、入力の確認が不十分なため、悪意のある命令を含むメッセージを送ると命令を実行させられる弱点（コマンドインジェクション）が見つかりました。CISA によると、この弱点は実際の攻撃に悪用されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Hikvision の一部の製品（CISA の一覧では防犯カメラのウェブサーバー）を使っている人や組織が対象です。影響を受ける製品の型番やバージョンは、このデータからは不明です。

何をすればいい

Hikvision の公式の案内を確認し、使っている製品が対象かどうかを調べて、メーカーの案内に従って更新してください。Hikvision の勧告のページは今回内容を読み取れなかったため、対象製品と修正版はメーカーのページで確かめてください。

やることチェックリスト

• 使っている Hikvision 製品を洗い出す
• 製品が対象かをメーカーの勧告で調べる
• メーカーの案内に従って製品を更新する

用語メモ

コマンドインジェクション

入力に命令を紛れ込ませて、機器に実行させてしまう攻撃です。

ウェブサーバー

ブラウザからの要求に応えて画面やデータを返すしくみで、カメラなどの機器にも入っています。