CVE詳細 - CVE-2018-10562-

CVE-2018-10562 の詳細

CVEの情報

説明:
An issue was discovered on Dasan GPON home routers. Command Injection can occur via the dest_host parameter in a diag_action=ping request to a GponForm/diag_Form URI. Because the router saves ping results in /tmp and transmits them to the user when the user revisits /diag.html, it's quite simple to execute commands and retrieve their output.

CVE更新日: 2018-05-04 03:29:00.287000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-31

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999490000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-10562は、Dasan GPONホームルーターに存在する深刻なコマンドインジェクションの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

Dasan GPONホームルーターにおいて、GponForm/diag_Form URIへのdiag_action=pingリクエストのdest_hostパラメータを介してコマンドインジェクションが発生する脆弱性です。ルーターはpingの結果を/tmpに保存し、ユーザーが/diag.htmlに再アクセスしたときにそれを送信するため、攻撃者は容易にコマンドを実行し、その出力を取得することが可能です。

この脆弱性は、特にCVE-2018-10561（認証バイパスの脆弱性）と組み合わせて悪用されることで、認証なしでリモートコード実行 (RCE) を可能にします。

1.1 影響

リモートコード実行 (RCE)。
攻撃者による対象デバイスの完全な制御。
機密情報の窃取、ランサムウェアのインストール、または内部ネットワークへの侵入。
Mirai、Muhstik、Hajime、Mettle、Satori、Imgayなどのボットネットによって、DDoS攻撃やクリプトマイニングに悪用されていることが確認されています。
ランサムウェアキャンペーンでの利用も確認されています。

1.2 深刻度

CVSS v3.xスコア: 9.8（Critical、緊急）。
CVSS v2スコア: 7.5（High、高）。
EPSS (Exploit Prediction Scoring System) スコア: 100.00%（今後30日以内に悪用される可能性が非常に高い）。
CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログに2022年3月31日に追加されており、実際に悪用が確認されています。

2. 対象となる環境

対象デバイス: Dasan GPON（Gigabit Passive Optical Network）ホームルーター。

2.1 影響を受けるOSバージョン

不明（この脆弱性はルーターのファームウェアまたはWeb管理インターフェースに存在し、一般的なOSバージョンに依存するものではありません）。

2.2 影響を受ける設定

Web管理インターフェースにおけるGponForm/diag_Form URIへのdiag_action=pingリクエスト時のdest_hostパラメータが影響を受けます。この脆弱性は、認証を必要とする場合と、CVE-2018-10561と組み合わせて認証なしで悪用される場合があります。

3. 影響を受けた時の兆候

ログに/GponForm/diag_FORM?images/を含むURLへのアクセス試行が記録される。
Miraiのようなスキャンアクティビティが観測される。
デバイスがボットネットの一部として利用され、DDoS攻撃やクリプトマイニングなどの活動に加担している。
デバイス上で不正なアクセスやコマンドの実行が見られる。

4. 推奨対策

4.1 本対策

公式パッチの状況: 多くのベンダーから公式パッチが提供されておらず、当該製品は製品寿命末期 (EOL) と見なされています。
EOL製品の切断: CISAは、影響を受ける製品がEOLであり、もし使用されている場合はネットワークから切断すべきであると推奨しています。
最新ファームウェアへの更新: ベンダーがファームウェアアップデートを提供している場合は、速やかに適用してください。

4.2 暫定回避策（緩和策）

リモート管理の無効化: デバイスの管理インターフェースへのアクセスを制限してください。
ファイアウォールによる保護: デバイスの管理インターフェースへの外部からのアクセスをブロックするために、ファイアウォールを設定してください。
IPアドレスホワイトリスト: 管理インターフェースへのアクセスを特定のIPアドレスに限定するホワイトリストを導入してください。
非公式パッチ: vpnMentorの研究者によって非公式のパッチが公開されましたが、現在はこのパッチは利用できず、使用には免責事項がありました。これはWebサーバーを元に戻しにくい形で無効化するものでした。
ISP提供のGPONルーターの確認と対応: リモートサイトがこの系列のISP提供GPONルーターを使用しているかを確認し、交換するか、企業のネットワークからファイアウォールで隔離することを検討してください。

他に解説すべき観点

CWE (Common Weakness Enumeration): CWE-78 - OSコマンドに利用される特殊な要素の不適切な無害化（'OSコマンドインジェクション'）。
関連する脆弱性: しばしばCVE-2018-10561（認証バイパス）と組み合わせて悪用され、認証なしでの完全なリモートコード実行を可能にします。
実世界での悪用: 公開されているエクスプロイトコードが存在し、MiraiやMuhstikなどの様々なボットネットによる活発な悪用、およびランサムウェアキャンペーンでの使用が確認されています。
CISA KEVの対応期限: 連邦政府機関は2022年4月21日までにこの脆弱性への対策を完了するよう義務付けられていました。

参照したサイト:

NVDサイト

NVDでCVEの詳細を見る

戻る