最近の脆弱性 › CVE-2023-47565
QNAP VioStor NVR のOSコマンドインジェクションの脆弱性（CVE-2023-47565）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-47565 |
|---|---|
| 製品 | QNAP VioStor NVR |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-12-21 |
| 米国政府機関の対応期限 | 2024-01-11 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
QNAP の古いネットワークビデオレコーダー VioStor NVR で、OSコマンドインジェクションの弱点が見つかりました。ログイン済みの利用者が、ネットワーク経由で命令を実行できるおそれがあります。実際に悪用が確認されています。NVD の評価では、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
QVR Firmware 4.x で動いている、古い VioStor NVR の機種を使っている人や組織が影響を受けます。
何をすればいい
QNAP の案内では、QVR Firmware 5.0.0 以降で修正されているため、QVR を最新のバージョンに更新するよう勧めています。あわせて、すべての利用者アカウントに強いパスワードを設定するよう案内しています。ファームウェアは QNAP のダウンロードページで「Legacy NVR」を選んで入手します。公式の案内を確認して対策してください。
やることチェックリスト
- QVR Firmwareを5.0.0以降に更新する
- 全利用者アカウントに強いパスワードを設定する
- VioStor NVRのQVRの版が4.xか確認する
用語メモ
- OSコマンドインジェクション
- 機器やサーバーに、本来は想定していない OS の命令を紛れ込ませて実行させる攻撃です。
- ネットワークビデオレコーダー
- ネットワークにつないだ防犯カメラなどの映像を録画・保存する機器です。
- ファームウェア
- 機器の中で動いている、機器を制御するためのソフトウェアです。
元データ（英語・CISA KEV より）
QNAP VioStor NVR OS Command Injection Vulnerability
概要
QNAP VioStar NVR contains an OS command injection vulnerability that allows authenticated users to execute commands via a network.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.