CVE-2023-47565とは？QNAP VioStor NVRの脆弱性をわかりやすく解説

ひとことでQNAPの古い録画機VioStor NVRで、ログインした人に命令を実行される弱点
深刻度8.8 重要CVSS v3.1
まずやることQVR Firmwareを5.0.0以降に更新する

基本情報（データから表示）

CVE番号	CVE-2023-47565
製品	QNAP VioStor NVR
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-12-21
米国政府機関の対応期限	2024-01-11
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-78（OSコマンドインジェクション）

何が起きた

QNAP の古いネットワークビデオレコーダー VioStor NVR で、OSコマンドインジェクションの弱点が見つかりました。ログイン済みの利用者が、ネットワーク経由で命令を実行できるおそれがあります。実際に悪用が確認されています。NVD の評価では、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

QVR Firmware 4.x で動いている、古い VioStor NVR の機種を使っている人や組織が影響を受けます。

何をすればいい

QNAP の案内では、QVR Firmware 5.0.0 以降で修正されているため、QVR を最新のバージョンに更新するよう勧めています。あわせて、すべての利用者アカウントに強いパスワードを設定するよう案内しています。ファームウェアは QNAP のダウンロードページで「Legacy NVR」を選んで入手します。公式の案内を確認して対策してください。

やることチェックリスト

QVR Firmwareを5.0.0以降に更新する
全利用者アカウントに強いパスワードを設定する
VioStor NVRのQVRの版が4.xか確認する

用語メモ

OSコマンドインジェクション用語集で見る: 機器やサーバーに、本来は想定していない OS の命令を紛れ込ませて実行させる攻撃です。
ネットワークビデオレコーダー: ネットワークにつないだ防犯カメラなどの映像を録画・保存する機器です。
ファームウェア用語集で見る: 機器の中で動いている、機器を制御するためのソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性QNAP Photo Station（CVE-2022-27593）9.1 緊急CVSS v3.1QNAP の NAS の Photo Station に、システムのファイルを書き換えられる弱点があります。同じ製品・メーカーの脆弱性QNAP Photo Station（CVE-2019-7195）9.8 緊急CVSS v3.1QNAP の Photo Station で、NAS のシステムのファイルを外から読み書きされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

QNAP VioStor NVR OS Command Injection Vulnerability

概要

QNAP VioStar NVR contains an OS command injection vulnerability that allows authenticated users to execute commands via a network.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

QNAP VioStor NVR のOSコマンドインジェクションの脆弱性（CVE-2023-47565）