最近の脆弱性 › CVE-2021-40407
Reolink RLC-410W IP Camera のOSコマンドインジェクションの脆弱性（CVE-2021-40407）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2021-40407 |
|---|---|
| 製品 | Reolink RLC-410W IP Camera |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2024-12-18 |
| 米国政府機関の対応期限 | 2025-01-08 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
Reolink の IP カメラ RLC-410W のネットワーク設定の機能で、SetDdns API に渡されるドメイン名がきちんと確かめられず、OS の命令を紛れ込ませて実行させられる弱点（OS コマンドインジェクション）が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。攻撃者は HTTP のリクエストを送ってこの弱点を突けます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Reolink の RLC-410W を使っている人・組織が対象です。NVD の説明では、v3.0.0.136_20121102 が影響を受けるとされています。修正されたバージョンは、このデータからは不明です。 Reolink の販売終了（EOL）の一覧では、RLC-410W は 2022年4月3日 に販売終了となり、後継として RLC-510WA が示されています。
何をすればいい
メーカーの公式の案内を確認し、対策があればそれに従ってください。CISA は、この製品はサポートが終わっている可能性があり、現在の対策が用意できない場合は使うのをやめるよう案内しています。
やることチェックリスト
- RLC-410W のファームウェアの版を確認する
- メーカーの対策があれば適用する
- 対策がなければ RLC-410W の利用を停止する
用語メモ
- OS コマンドインジェクション
- 入力に OS への命令を紛れ込ませ、機器の上でその命令を実行させる攻撃です。
- API
- プログラムどうしがやり取りするための窓口です。
- IP カメラ
- ネットワークにつないで映像を送る防犯カメラなどの機器です。
元データ（英語・CISA KEV より）
Reolink RLC-410W IP Camera OS Command Injection Vulnerability
概要
Reolink RLC-410W IP cameras contain an authenticated OS command injection vulnerability in the device network settings functionality.
推奨対応
The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.