Digiever DS-2105 Pro の認可の不備の脆弱性（CVE-2023-52163）

何が起きた

Digiever の機器 DS-2105 Pro で、time_tzsetup.cgi という部分に必要な権限の確認が抜けており、命令を差し込んで実行させる攻撃（コマンドインジェクション）ができてしまう弱点が見つかり、実際に悪用が確認されています。Digiever の案内では、time_tzsetup.cgi の問題について、NTP の処理の誤りで NVR（録画機）の録画が止まるおそれがあると説明されています。NVD に登録された CISA の評価では、ネットワーク経由で離れた場所から、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Digiever DS-2105 Pro を使っている人や組織が対象です。NVD の説明では、バージョン 3.1.0.71-11 の機器が影響を受けます。また、影響を受けるのはメーカーのサポートがすでに終わっている製品だけとされています。

何をすればいい

NVD の説明では、影響を受けるのはサポートが終わっている製品だけとされています。一方、Digiever は、ファームウェア FW78-9 で time_tzsetup.cgi の問題（CVE-2023-52163）を直したと案内しています。ただし、この案内には DS-2105 Pro が対象かどうかは書かれていません。Digiever は、最新のファームウェアを入れること、10 年以上使っている機器はサポート窓口に問い合わせること、既定のユーザー名とパスワードをすぐに変えること、ファイアウォールなどで外からの接続を制限することを勧めています。修正を入れられない場合は、CISA の求めに従って DS-2105 Pro の使用をやめ、サポートが続いている機器に置き換えてください。

やることチェックリスト

• 最新のファームウェアを確かめて入れる
• 修正できなければ使用をやめ、機器を置き換える
• 既定のユーザー名とパスワードを変更する

用語メモ

コマンドインジェクション 用語集で見る

入力欄などに命令を紛れ込ませ、機器やサーバーにその命令を実行させる攻撃です。

NVD 用語集で見る

米国の NIST が運営する、脆弱性の情報を集めたデータベースです。

CISA 用語集で見る

米国のサイバーセキュリティ・インフラセキュリティ庁で、悪用された脆弱性の一覧などを公開しています。