CVE-2021-36380とは？Sunhillo SureLineの脆弱性をわかりやすく解説

ひとことでSunhillo SureLine で、ログインなしに外から OS のコマンドを実行される弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることSureLine を 8.7.0.1.1 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2021-36380
製品	Sunhillo SureLine
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-03-05
米国政府機関の対応期限	2024-03-26
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

Sunhillo SureLine に、ネットワーク診断の画面（/cgi/networkDiag.cgi）の ipAddr や dnsAddr という入力欄に特殊な記号を混ぜると、機器の OS のコマンドを実行させられる弱点（OS コマンドインジェクション）が見つかりました。CISA によると、機器を止める（サービス妨害）ことや、ネットワークの中に居座るための足場として使われるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに悪用できるとされています。実際の悪用も確認され、CISA の KEV に載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Sunhillo SureLine を使っている組織が対象です。NVD の説明では、8.7.0.1.1 より前のバージョンが影響を受けます。

何をすればいい

SureLine を 8.7.0.1.1 以降に更新されているか確認してください。対策が取れない場合は、CISA は製品の使用をやめることも求めています。

やることチェックリスト

SureLine を 8.7.0.1.1 以降に更新する
更新できない機器は使用をやめる
SureLine のバージョンを確認する

用語メモ

OS コマンドインジェクション用語集で見る: 入力欄などに細工した文字を入れて、機器の OS に攻撃者の命令を実行させる攻撃です。
サービス妨害用語集で見る: 機器やサービスを止めたり使えなくしたりする攻撃のことです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Sunhillo SureLine OS Command Injection Vulnerablity

概要

Sunhillo SureLine contains an OS command injection vulnerability that allows an attacker to cause a denial-of-service or utilize the device for persistence on the network via shell metacharacters in ipAddr or dnsAddr in /cgi/networkDiag.cgi.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Sunhillo SureLine のOSコマンドインジェクションの脆弱性（CVE-2021-36380）