D-Link Multiple NAS Devices のコマンドインジェクションの脆弱性（CVE-2024-3273）

何が起きた

D-Link の NAS（ネットワークにつなぐファイル保存用の機器）である DNS-320L、DNS-325、DNS-327L、DNS-340L に、外から OS への命令を差し込まれる弱点（コマンドインジェクション）が見つかりました。NVD の説明では、/cgi-bin/nas_sharing.cgi への要求に含まれる system という値を操作することで起きます。CISA によると、CVE-2024-3272 と組み合わせると、離れた場所から許可なくコードを実行される可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしに悪用できるとされています。実際の悪用も確認されています（CISA の KEV より）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

DNS-320L、DNS-325、DNS-327L、DNS-340L を使っている人・組織が対象で、NVD では 20240403 までのものが影響を受けるとされています。D-Link の告知 SAP10383 では、これらを含むすべての D-Link の NAS がサポート終了で、修正のファームウェアは作られないとされています。

何をすればいい

修正版は出ないため、更新で直すことはできません。D-Link は、サポート終了の機器を使うのをやめて、別の機器に置き換えるよう勧めています。置き換えについては、D-Link の地域の窓口に相談するよう案内されています。メーカーの公式の案内（SAP10383）を確認してください。

やることチェックリスト

• DNS-320L などの対象機種を持っているか確かめる
• 対象の NAS を使うのをやめ、別の機器に置き換える
• 置き換えについて D-Link の窓口に相談する

用語メモ

NAS

ネットワークにつないで、複数の機器からファイルを保存・共有できる記憶装置です。

コマンドインジェクション

入力に命令を混ぜ込み、機器やサーバーに本来は実行しない命令を実行させる攻撃です。

サポート終了

メーカーが修正や更新の提供をやめた状態のことで、新しい弱点が見つかっても直されません。