PTZOptics PT30X-SDI/NDI Cameras の認証回避の脆弱性（CVE-2024-8956）

何が起きた

PTZOptics の PT30X-SDI/NDI カメラで、/cgi-bin/param.cgi への要求に対してログインの確認が正しく行われない弱点が見つかりました。ログイン情報を付けずに要求を送ると、ユーザー名やパスワードのハッシュ、設定の詳細などを読み取られるおそれがあります。さらに、設定値を書き換えたり、設定ファイル全体を上書きしたりできるとされています。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PTZOptics の PT30X-SDI または PT30X-NDI カメラを使っている組織や個人が対象です。CVE の記録と NVD の説明では、影響を受けるのはファームウェア 6.3.40 より前のものです（メーカーのページでは確かめられていません）。CVE-2024-8957 と組み合わせると、カメラ上で root（最上位の管理者）として命令を実行される可能性があるとされています。

何をすればいい

カメラのファームウェアのバージョンを確認し、CVE の記録で影響を受けないとされる 6.3.40 以降に更新されているか確かめてください。更新の方法は PTZOptics の公式の案内を確認してください。

やることチェックリスト

• カメラのファームウェアのバージョンを確認する
• ファームウェアを 6.3.40 以降に更新する
• CVE-2024-8957 の対策も一緒に済ませる

用語メモ

ハッシュ

パスワードなどを、元に戻しにくい形の文字列に変換したものです。

ファームウェア

機器の中に組み込まれて、機器を動かしている基本のソフトウェアです。

root

すべての操作ができる最上位の管理者アカウントです。