CVE-2021-40407とは？Reolink RLC-410W IP Cameraの脆弱性をわかりやすく解説

ひとことでReolink のカメラ RLC-410W で、ネットワーク設定から命令を実行される弱点です。
深刻度7.2 重要CVSS v3.1
まずやることRLC-410W のファームウェアの版を確認する

基本情報（データから表示）

CVE番号	CVE-2021-40407
製品	Reolink RLC-410W IP Camera
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-12-18
米国政府機関の対応期限	2025-01-08
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

Reolink の IP カメラ RLC-410W のネットワーク設定の機能で、SetDdns API に渡されるドメイン名がきちんと確かめられず、OS の命令を紛れ込ませて実行させられる弱点（OS コマンドインジェクション）が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。攻撃者は HTTP のリクエストを送ってこの弱点を突けます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Reolink の RLC-410W を使っている人・組織が対象です。NVD の説明では、v3.0.0.136_20121102 が影響を受けるとされています。修正されたバージョンは、このデータからは不明です。 Reolink の販売終了（EOL）の一覧では、RLC-410W は 2022年4月3日に販売終了となり、後継として RLC-510WA が示されています。

何をすればいい

メーカーの公式の案内を確認し、対策があればそれに従ってください。CISA は、この製品はサポートが終わっている可能性があり、現在の対策が用意できない場合は使うのをやめるよう案内しています。

やることチェックリスト

RLC-410W のファームウェアの版を確認する
メーカーの対策があれば適用する
対策がなければ RLC-410W の利用を停止する

用語メモ

OS コマンドインジェクション用語集で見る: 入力に OS への命令を紛れ込ませ、機器の上でその命令を実行させる攻撃です。
API 用語集で見る: プログラムどうしがやり取りするための窓口です。
IP カメラ: ネットワークにつないで映像を送る防犯カメラなどの機器です。

次に読む

同じ製品・メーカーの脆弱性Reolink の複数の IP カメラ（CVE-2019-11001）7.2 重要CVSS v3.1Reolink の複数のカメラで、メールのテスト機能から命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Reolink RLC-410W IP Camera OS Command Injection Vulnerability

概要

Reolink RLC-410W IP cameras contain an authenticated OS command injection vulnerability in the device network settings functionality.

推奨対応

The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

この元データの出どころ: CISA KEV カタログで見る

Reolink RLC-410W IP Camera のOSコマンドインジェクションの脆弱性（CVE-2021-40407）