Trusted DesignCVE-2016-20017 の詳細
CVEの情報
説明:
D-Link DSL-2750B devices before 1.05 allow remote unauthenticated command injection via the login.cgi cli parameter, as exploited in the wild in 2016 through 2022.
CVE更新日: 2022-10-19 05:15:08.817000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2024-01-08
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.665830000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2016-20017に関して、以下の観点で解説します。
1. 脆弱性の概要
D-Link DSL-2750Bデバイスにおいて、バージョン1.05より前の製品に存在する、認証なしでリモートからコマンドインジェクションが可能となる脆弱性です。具体的には、
login.cgiのcliパラメータを介して、認証されていないリモートの攻撃者が任意のコマンドを実行できる可能性があります。この脆弱性は、2016年から2022年にかけて実際に悪用されたことが確認されています。1.1 影響
この脆弱性が悪用されると、リモートの認証されていない攻撃者によってデバイス上で任意のOSコマンドが実行される可能性があります。これは遠隔からのコード実行（RCE）につながり、結果としてシステムが完全に制御される危険性があります。Zerobotのようなマルウェアが、この脆弱性を利用して他のデバイスに拡散することが報告されています。Zerobotに感染したデバイスは、C2サーバーに接続し、DDoS攻撃に参加する可能性があります。
1.2 深刻度
CVSSスコアは、提供された情報からは直接確認できませんが、認証なしでのリモートからのコマンドインジェクションは、一般的に「緊急」または「高」の深刻度と評価されます。NISTのNVDでは、この脆弱性がCWE-78（OSコマンドインジェクション）に分類されており、認証なしで直接システムにアクセスできることから、重要な脆弱性であるとされています。CISAの「Known Exploited Vulnerabilities Catalog」にも含まれており、積極的に悪用されている脆弱性として、迅速な対応が求められています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
D-Link DSL-2750Bデバイスのバージョン1.05より前の製品が影響を受けます。これらのデバイスのOSは通常組み込みLinuxですが、特定のOSバージョンについては言及されていません。
2.2 影響を受ける設定
login.cgiのcliパラメータを介して脆弱性が悪用されるため、影響を受けるデバイスのデフォルトのWebインターフェース設定が脆弱であると考えられます。3. 影響を受けた時の兆候
この脆弱性は実際に悪用されたことが報告されており、Zerobotマルウェアの拡散にも利用されています。影響を受けた場合の兆候としては、以下が考えられます。
4. 推奨対策
4.1 本対策
D-Link DSL-2750Bデバイスをバージョン1.05以降にアップデートすることです。ベンダーが提供する修正プログラムを速やかに適用することが強く推奨されています。
4.2 暫定回避策（緩和策）
もしベンダーからの緩和策が提供されていない場合、またはパッチ適用がすぐに不可能な場合は、影響を受ける製品の使用を中止することが推奨されます。その他、具体的な暫定回避策については、提供された情報からは不明です。
参照したサイト