Trusted Design

CVE-2020-25078 の詳細

CVEの情報

説明:
An issue was discovered on D-Link DCS-2530L before 1.06.01 Hotfix and DCS-2670L through 2.02 devices. The unauthenticated /config/getuser endpoint allows for remote administrator password disclosure.

CVE更新日: 2020-09-02 16:15:12.627000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2025-08-05

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.941460000

EPSS更新日: 2026-06-12 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-25078について、以下の観点で解説します。

1. 脆弱性の概要

D-Link DCS-2530LおよびDCS-2670Lを含む複数のD-Link DCSシリーズIPカメラに存在する情報漏えい脆弱性です。認証されていない/config/getuserエンドポイントにアクセスすることで、リモートから管理者パスワードが漏えいする可能性があります。このエンドポイントは、認証を必要とせずに機密性の高いユーザー設定データを返すように設計上の不備がありました。

1.1 影響

この脆弱性が悪用されると、認証されていないリモートの攻撃者が影響を受けるD-Linkカメラから管理者パスワードを平文で取得できます。これにより、デバイスの完全な乗っ取りや、ボットネット操作での使用につながる可能性があります。この脆弱性は、CISAの既知の悪用済み脆弱性（KEV）カタログに登録されており、実環境で積極的に悪用されていることが示されています。

1.2 深刻度

  • CVSS v3.1 Base Score: 7.5 (High)
    • 攻撃経路 (AV): ネットワーク (Network)
    • 攻撃の複雑さ (AC): 低 (Low)
    • 必要な特権 (PR): 不要 (None)
    • ユーザーインタラクション (UI): 不要 (None)
    • スコープ (S): 変更なし (Unchanged)
    • 機密性 (C): 高 (High)
    • 完全性 (I): なし (None)
    • 可用性 (A): なし (None)
  • CVSS v2.0 Base Score: 5.0 (Medium)

2. 対象となる環境

2.1 影響を受けるOSバージョン

D-Link DCSシリーズIPカメラの以下のファームウェアバージョンが影響を受けます。

  • D-Link DCS-2530L: ファームウェアバージョン 1.06.01 Hotfix 未満、または v1.07.00 未満
  • D-Link DCS-2670L: ファームウェアバージョン 2.02 以下、または v2.03.00 未満
  • D-Link DCS-4603
  • D-Link DCS-4622
  • D-Link DCS-4701E
  • D-Link DCS-4703E
  • D-Link DCS-4705E
  • D-Link DCS-4802E
  • D-Link DCS-P703

影響を受けるOSは特定のファームウェアバージョンであり、汎用的なOSバージョンではありません。

2.2 影響を受ける設定

D-LinkカメラのWeb管理インターフェースにおける認証メカニズムの欠陥です。具体的には、/config/getuserエンドポイントが認証なしでアクセス可能になっていることが問題です。

3. 影響を受けた時の兆候

  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実環境で活発に悪用されていることが示されています。
  • 攻撃者が/config/getuserエンドポイントを照会して、管理者資格情報を取得しようとするネットワークトラフィックが観測される可能性があります。

4. 推奨対策

4.1 本対策

  • ファームウェアのアップグレード: 影響を受けるD-Linkデバイスのファームウェアを、ベンダーが提供する最新バージョンに直ちにアップグレードしてください。
    • DCS-2530L: v1.06.01 Hotfix 以降、または v1.07.00 以降
    • DCS-2670L: v2.02 より新しいバージョン、または v2.03.00 以降
  • 製品の使用中止: D-Link社は、対象デバイスの一部がすでにサポート終了（End of Life: EOL）している可能性があり、メーカーからのセキュリティアップデートが提供されない場合があるとしています。その場合、製品の使用を中止することを強く推奨しています。

4.2 暫定回避策（緩和策）

  • 製品の使用中止: メーカーからの緩和策が入手できない場合、製品の使用を中止することが推奨されます。
  • ネットワークからの隔離: 影響を受けるデバイスをインターネットから隔離し、信頼されたネットワーク内からのアクセスのみを許可するなどの措置が考えられますが、根本的な解決にはなりません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る