Digiever DS-2105 Pro の認可の不備の脆弱性（CVE-2023-52163）

何が起きた

Digiever の機器 DS-2105 Pro で、time_tzsetup.cgi という部分に必要な権限の確認が抜けており、命令を差し込んで実行させる攻撃（コマンドインジェクション）ができてしまう弱点が見つかり、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で離れた場所から、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Digiever DS-2105 Pro を使っている人や組織が対象です。NVD の説明では、バージョン 3.1.0.71-11 の機器が影響を受けます。また、影響を受けるのはメーカーのサポートがすでに終わっている製品だけとされています。

何をすればいい

サポートが終わっている製品のため、修正版が出るかどうかは、このデータからは不明です。CISA は、対策がない場合は製品の使用をやめるよう求めています。DS-2105 Pro の使用をやめ、サポートが続いている機器に置き換えてください。あわせて公式の案内を確認してください。

やることチェックリスト

• DS-2105 Pro の使用をやめる
• サポートが続いている機器に置き換える
• バージョン3.1.0.71-11の機器か確かめる

用語メモ

コマンドインジェクション

入力欄などに命令を紛れ込ませ、機器やサーバーにその命令を実行させる攻撃です。

NVD

米国の NIST が運営する、脆弱性の情報を集めたデータベースです。

CISA

米国のサイバーセキュリティ・インフラセキュリティ庁で、悪用された脆弱性の一覧などを公開しています。