Trusted DesignCVE-2020-9054 の詳細
CVEの情報
説明:
Multiple ZyXEL network-attached storage (NAS) devices running firmware version 5.21 contain a pre-authentication command injection vulnerability, which may allow a remote, unauthenticated attacker to execute arbitrary code on a vulnerable device. ZyXEL NAS devices achieve authentication by using the weblogin.cgi CGI executable. This program fails to properly sanitize the username parameter that is passed to it. If the username parameter contains certain characters, it can allow command injection with the privileges of the web server that runs on the ZyXEL device. Although the web server does not run as the root user, ZyXEL devices include a setuid utility that can be leveraged to run any command with root privileges. As such, it should be assumed that exploitation of this vulnerability can lead to remote code execution with root privileges. By sending a specially-crafted HTTP POST or GET request to a vulnerable ZyXEL device, a remote, unauthenticated attacker may be able to execute arbitrary code on the device. This may happen by directly connecting to a device if it is directly exposed to an attacker. However, there are ways to trigger such crafted requests even if an attacker does not have direct connectivity to a vulnerable devices. For example, simply visiting a website can result in the compromise of any ZyXEL device that is reachable from the client system. Affected products include: NAS326 before firmware V5.21(AAZF.7)C0 NAS520 before firmware V5.21(AASZ.3)C0 NAS540 before firmware V5.21(AATB.4)C0 NAS542 before firmware V5.21(ABAG.4)C0 ZyXEL has made firmware updates available for NAS326, NAS520, NAS540, and NAS542 devices. Affected models that are end-of-support: NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 and NSA325v2
CVE更新日: 2020-03-04 20:15:10.750000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2022-03-25
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999880000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2020-9054について、以下の観点で解説します。
1. 脆弱性の概要
ZyXEL製複数のネットワーク接続ストレージ（NAS）デバイスのファームウェアバージョン5.21以前に存在する、事前認証コマンドインジェクションの脆弱性です。この脆弱性は、CGI実行ファイル「weblogin.cgi」がユーザー名パラメータを適切にサニタイズしないことに起因します。これにより、遠隔の認証されていない攻撃者が任意のコードを実行できる可能性があります。
1.1 影響 遠隔の、認証されていない攻撃者が、特別に細工されたHTTP POSTまたはGETリクエストを送信することで、脆弱なデバイス上でルート権限で任意のコードを実行する可能性があります。これにより、データ窃盗、ランサムウェアの展開、またはネットワークのピボット（足がかり）につながる可能性があります。
1.2 深刻度 - CVSS v3.1基本評価値: 9.8 (緊急) - 攻撃元区分: ネットワーク - 攻撃条件の複雑さ: 低 - 攻撃に必要な特権レベル: 不要 - 利用者の関与: 不要 - 機密性への影響: 高 - 完全性への影響: 高 - 可用性への影響: 高 - CVSS v2基本評価値: 10.0 (危険) - CISAのKnown Exploited Vulnerabilities (KEV) カタログにリストされており、野外での悪用が確認されています。 - EPSS (Exploit Prediction Scoring System) の悪用確率は100.0%と評価されています。 - 脆弱性タイプはCWE-78 (OS Command Injection) に分類されます。
2. 対象となる環境
2.1 影響を受けるOSバージョン ファームウェアバージョン5.21以前を実行している複数のZyxel NASデバイスが影響を受けます。 具体的な影響を受ける製品と、修正済みファームウェアバージョンは以下の通りです。
また、以下のサポート終了モデルも影響を受けます。 NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325, NSA325v2
2.2 影響を受ける設定 本脆弱性は、Zyxel NASデバイスの認証に使用されるCGI実行ファイル「
weblogin.cgi」の内部に存在します。このプログラムが、ユーザー名パラメータをシェルコマンドに直接渡す際に、特殊な文字（シェルメタキャラクター）を適切にサニタイズまたはエスケープしないことが原因です。3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策 Zyxelが提供する最新のファームウェアにアップデートすることが最も重要な対策です。 影響を受けるモデルに対応する以下のファームウェアバージョン、またはそれ以降のバージョンに更新してください。
4.2 暫定回避策（緩和策） * サポート終了製品の場合: サポートが終了しているNASモデル（NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325, NSA325v2など）については、物理的にネットワークから切断するか、使用を中止することを強く推奨します。 * ネットワークからの隔離: パッチ適用がすぐにできない場合、脆弱なデバイスをネットワークから隔離するか、インターネットへの露出を制限することを検討してください。 * 不正アクセスの監視: 悪用が確認されているため、すでに侵害されていないか、システムのログを監視し、不正なアクティビティがないか確認することが重要です。 * 複雑なログインパスワードの使用: 本脆弱性は事前認証型ですが、一般的にブルートフォース攻撃を防ぐために、複雑なログインパスワードを設定することを推奨します。
参照したサイト