NUUO NVRmini2 Devices の認証の欠如の脆弱性（CVE-2022-23227）

何が起きた

NUUO の録画機 NVRmini2 で、handle_import_user.php にログインの確認がないため、暗号化した TAR ファイルを送り込んで、任意の（攻撃者が好きに選べる）利用者を追加できる弱点が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できます。NVD の説明では、別の弱点（CVE-2011-5325）と組み合わせると、Web の公開フォルダの下のファイルを上書きし、root（最高権限）でプログラムを実行できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NUUO の NVRmini2 を使っている人・組織が対象です。NVD の説明では、3.11 までのバージョンが影響を受けるとされています。NUUO の販売終了（EOL）のお知らせによると、NVRmini 2 は 2020年3月15日 に販売終了となり、ソフトウェアの技術サポートは 2022年1月1日 までとされています。CISA も、この製品はサポートが終わっているとしています。

何をすればいい

CISA は、この製品はサポートが終わっているため、使うのをやめるよう案内しています。NUUO は、NVRmini 2 の後継を NVRmini 3 としています。NVRmini2 を使い続けず、サポートが続いている製品への置き換えを進めてください。

やることチェックリスト

• NVRmini2 を使っているか確認する
• NVRmini2 の利用を停止する
• サポート中の製品への置き換えを計画する

用語メモ

TAR

複数のファイルを1つにまとめる形式のファイルです。

root

Linux などで、すべての操作ができる最高権限の利用者です。

録画機

防犯カメラの映像をネットワーク経由で受け取って保存する機器です。