• ひとことでD-Link の古い NAS で、外から OS への命令を差し込まれる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることDNS-320L などの対象機種を持っているか確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-3273
製品D-Link Multiple NAS Devices
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2024-04-11
米国政府機関の対応期限2024-05-02
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-77（コマンドインジェクション）

何が起きた

D-Link の NAS（ネットワークにつなぐファイル保存用の機器）である DNS-320L、DNS-325、DNS-327L、DNS-340L に、外から OS への命令を差し込まれる弱点（コマンドインジェクション）が見つかりました。NVD の説明では、/cgi-bin/nas_sharing.cgi への要求に含まれる system という値を操作することで起きます。CISA によると、CVE-2024-3272 と組み合わせると、離れた場所から許可なくコードを実行される可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしに悪用できるとされています。実際の悪用も確認されています（CISA の KEV より）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. nas_sharing.cgi に細工した要求を送る → 2. system の値に命令を混ぜ込む → 3. NAS の上で命令が実行される1nas_sharing.cgi に細工した要求を送る2system の値に命令を混ぜ込む3NAS の上で命令が実行される攻撃の流れ: 1. nas_sharing.cgi に細工した要求を送る → 2. system の値に命令を混ぜ込む → 3. NAS の上で命令が実行される1nas_sharing.cgi に細工した要求を送る2system の値に命令を混ぜ込む3NAS の上で命令が実行される攻撃の流れ: 1. nas_sharing.cgi に細工した要求を送る → 2. system の値に命令を混ぜ込む → 3. NAS の上で命令が実行される1nas_sharing.cgi に細工した要求を送る2system の値に命令を混ぜ込む3NAS の上で命令が実行される

誰が影響を受ける

DNS-320L、DNS-325、DNS-327L、DNS-340L を使っている人・組織が対象で、NVD では 20240403 までのものが影響を受けるとされています。D-Link の告知 SAP10383 では、これらを含むすべての D-Link の NAS がサポート終了で、修正のファームウェアは作られないとされています。

何をすればいい

修正版は出ないため、更新で直すことはできません。D-Link は、サポート終了の機器を使うのをやめて、別の機器に置き換えるよう勧めています。置き換えについては、D-Link の地域の窓口に相談するよう案内されています。メーカーの公式の案内（SAP10383）を確認してください。

やることチェックリスト

  • DNS-320L などの対象機種を持っているか確かめる
  • 対象の NAS を使うのをやめ、別の機器に置き換える
  • 置き換えについて D-Link の窓口に相談する

用語メモ

NAS 用語集で見る
ネットワークにつないで、複数の機器からファイルを保存・共有できる記憶装置です。
コマンドインジェクション 用語集で見る
入力に命令を混ぜ込み、機器やサーバーに本来は実行しない命令を実行させる攻撃です。
サポート終了
メーカーが修正や更新の提供をやめた状態のことで、新しい弱点が見つかっても直されません。

次に読む

同じ製品・メーカーの脆弱性D-Link の複数の NAS 機器（CVE-2024-3272）9.8 緊急CVSS v3.1D-Link の古い NAS に、変えられない隠れたログイン情報がある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

D-Link Multiple NAS Devices Command Injection Vulnerability

概要

D-Link DNS-320L, DNS-325, DNS-327L, and DNS-340L contain a command injection vulnerability. When combined with CVE-2024-3272, this can lead to remote, unauthorized code execution.

推奨対応

This vulnerability affects legacy D-Link products. All associated hardware revisions have reached their end-of-life (EOL) or end-of-service (EOS) life cycle and should be retired and replaced per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る