D-Link DIR-823X のコマンドインジェクションの脆弱性（CVE-2025-29635）

何が起きた

D-Link のルーター DIR-823X に、送られてきたデータをそのまま命令として実行してしまう弱点（コマンドインジェクション）が見つかりました。特定の設定用のページに細工した POST リクエストを送ることで、任意の（攻撃者が好きに選べる）コマンドを機器の上で実行できるおそれがあります。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。実際に悪用されたことが確認され、CISA の KEV に載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

D-Link DIR-823X を使っている家庭や事業所が対象です。NVD の説明では、ファームウェアの 240126 と 240802 が影響を受けます。D-Link によると、DIR-823X はすべてのハードウェアのバージョンでサポートが終了（EOL/EOS）しており、修正版は出ない見込みです。

何をすればいい

D-Link は、サポートが終わったこの製品の使用をやめて、別の機器に置き換えるよう強く勧めています。CISA も、この製品の利用をやめるよう呼びかけています。置き換えるまでは、ルーターの管理画面にインターネット側から接続できないようにし、管理者のパスワードを推測されにくいものにしてください。あわせて D-Link の公式の案内を確認してください。

やることチェックリスト

• DIR-823Xの利用を中止し別の機器に交換する
• 管理画面への外部からの接続を禁止する
• 管理者のパスワードを強いものに変更する

用語メモ

コマンドインジェクション

入力したデータの中に命令をまぎれこませて、機器やサーバーにその命令を実行させる攻撃です。

POST リクエスト

ウェブの画面からサーバーや機器へ、データを送るときに使う通信のやり方です。

ファームウェア

ルーターなどの機器の中に組み込まれて、機器を動かしているソフトウェアです。