Trusted Design

CVE-2020-5722 の詳細

CVEの情報

説明:
The HTTP interface of the Grandstream UCM6200 series is vulnerable to an unauthenticated remote SQL injection via crafted HTTP request. An attacker can use this vulnerability to execute shell commands as root on versions before 1.0.19.20 or inject HTML in password recovery emails in versions before 1.0.20.17.

CVE更新日: 2020-03-23 20:15:12.043000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-01-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.844060000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-5722について、以下の観点で解説します。

1. 脆弱性の概要

Grandstream UCM6200シリーズのIP PBXファームウェアのHTTPインターフェースに、認証不要なリモートSQLインジェクションの脆弱性が存在します。攻撃者は、細工されたHTTPリクエストを介してこの脆弱性を悪用できます。根本原因は、HTTPインターフェースにおけるユーザー入力の不適切な検証にあります。

1.1 影響

この脆弱性が悪用されると、攻撃者は以下のことが可能になります。

  • バージョン1.0.19.20より前のファームウェアでは、rootとしてシェルコマンドをリモートで実行できます。これにより、システムへの完全な制御が可能となり、機密性、完全性、可用性に深刻な影響を及ぼす可能性があります。
  • バージョン1.0.20.17より前のファームウェアでは、パスワード回復メールに任意のHTMLを挿入できます。
  • 結果として、不正なアクセス、影響を受けるシステムへの制御奪取、データ漏洩、さらなる攻撃につながる可能性があります。

1.2 深刻度

  • CVSSスコア: 9.8 (Critical - 緊急)
  • CWE: CWE-89 (SQL Injection)
  • CISA KEV (Known Exploited Vulnerabilities) Catalog: 記載されており、実際に悪用されていることが示されています。
  • EPSS (Exploit Prediction Scoring System): 2020年3月時点で92.73%、2026年6月時点で84.4%と高い確率が示されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Grandstream UCM6200シリーズのIP PBXデバイスのファームウェアに影響を与えます。

2.2 影響を受ける設定

  • Grandstream UCM6200シリーズのファームウェアバージョンが以下のものが影響を受けます。
    • バージョン1.0.19.20より前のすべてのファームウェアバージョン（リモートコード実行の脆弱性）
    • バージョン1.0.20.17より前のファームウェアバージョン（HTMLインジェクションの脆弱性およびSQLインジェクションの完全な修正前）
  • Webインターフェースの「パスワードを忘れた場合」機能が悪用されます。
  • 攻撃はネットワークベースであり、認証やユーザーの操作は必要ありません。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、以下のような兆候が現れる可能性がありますが、攻撃が完了するとシステムが完全に制御されるため、明示的な「兆候」は限定的です。

  • 攻撃者がroot権限でシェルコマンドを実行している場合、システム上で予期しないプロセスが実行されたり、設定が変更されたりする可能性があります。
  • パスワード回復メールに、不審なリンクやコンテンツが挿入される可能性があります。
  • 不正なアクセスやデータ漏洩の形跡（ログの異常、不審な通信など）が確認される場合があります。
  • Qualys Labsでは、公開されているPoCを使用してリバースシェルを獲得する形で脆弱性を再現しています。

4. 推奨対策

4.1 本対策

  • ファームウェアのアップデート: ベンダーの指示に従い、Grandstream UCM6200シリーズのファームウェアを修正済みのバージョンに即座にアップデートしてください。リモートコード実行を完全に防ぐためにはバージョン1.0.19.20以降、SQLインジェクションとHTMLインジェクションの両方を完全に修正するにはバージョン1.0.20.17以降へのアップデートが必要です。

4.2 暫定回避策（緩和策）

  • この脆弱性はCISA KEVに掲載されており、緊急の対応が求められます。パッチが適用できない場合は、脆弱なシステムをネットワークから隔離するか、インターネットへの露出を制限することが検討されます。
  • バージョン1.0.19.20へのアップデートで、シェルメタキャラクターをブロックするロジックが追加され、意図せずリモートコード実行の攻撃経路が塞がれましたが、SQLインジェクション自体はバージョン1.0.20.17で修正されました。 このことから、段階的なアップデートで一部のリスクは軽減可能です。

他に解説すべき観点

  • この脆弱性は、攻撃の複雑度が低く、認証もユーザーの操作も不要であるため、悪用が容易です。
  • Shodanの検索によると、インターネット上に10,000台以上の脆弱なデバイスが公開されている可能性が指摘されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る