PTZOptics PT30X-SDI/NDI Cameras のOSコマンドインジェクションの脆弱性（CVE-2024-8957）

何が起きた

PTZOptics の PT30X-SDI/NDI カメラで、時刻合わせ（NTP）のサーバーを指定する ntp_addr という設定値が十分に確認されていない弱点が見つかりました。その結果、カメラの OS で任意の（攻撃者が好きに選べる）命令が実行されるおそれがあります。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。ただし CVE-2024-8956 と組み合わせると、ログインしていない攻撃者でも命令を実行できるとされており、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PTZOptics の PT30X-SDI または PT30X-NDI カメラを使っている組織や個人が対象です。CVE の記録と NVD の説明では、影響を受けるのはファームウェア 6.3.40 より前のものです（メーカーのページでは確かめられていません）。

何をすればいい

カメラのファームウェアのバージョンを確認し、CVE の記録で影響を受けないとされる 6.3.40 以降に更新されているか確かめてください。一緒に悪用される CVE-2024-8956 も同じファームウェアで対象になっています。更新の方法は PTZOptics の公式の案内を確認してください。

やることチェックリスト

• カメラのファームウェアのバージョンを確認する
• ファームウェアを 6.3.40 以降に更新する
• CVE-2024-8956 の対策も一緒に済ませる

用語メモ

ファームウェア

機器の中に組み込まれて、機器を動かしている基本のソフトウェアです。

NTP

ネットワークを通じて、機器の時計を正しい時刻に合わせる仕組みです。

OS

機器全体の動きを管理する基本のソフトウェアです。