Trusted Design

解説:

CVE-2021-36380は、Sunhillo SureLine製品における認証されていないOSコマンドインジェクションの脆弱性です。

1. 脆弱性の概要

Sunhillo SureLine製品の/cgi/networkDiag.cgiにあるネットワーク診断ページには、認証されていないOSコマンドインジェクションの脆弱性が存在します。この脆弱性は、ipAddrまたはdnsAddrパラメータにシェルメタ文字を挿入することで悪用される可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は認証なしにリモートから任意のOSコマンドを実行できる可能性があります。

1.2 深刻度

CVE-2021-36380のCVSSv3の基本スコアは9.8であり、「緊急（Critical）」と評価されています。また、この脆弱性はCISA（Cybersecurity and Infrastructure Security Agency）の既知の悪用されている脆弱性（Known Exploited Vulnerabilities：KEV）カタログにリストされており、実際に悪用が確認されています。EPSS（Exploit Prediction Scoring System）の確率は97.6%と高い数値を示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンの記載はありません。この脆弱性はSunhillo SureLine製品自体に影響を与えます。

2.2 影響を受ける設定

Sunhillo SureLineのバージョン8.7.0.1.1より前のビルドがこの脆弱性の影響を受けます。ネットワーク診断ページがアドレスフィールドを直接シェルに渡すように設定されていることが原因です。

3. 影響を受けた時の兆候

直接的な兆候は明示されていませんが、OSコマンドインジェクションによって任意のコードが実行される可能性があるため、以下のような兆候が考えられます。

• システムの異常な動作
• 予期せぬプロセスの実行
• データの改ざんや情報の窃取
• サービス停止

CISA KEVにリストされているため、過去の侵害がないかを確認することが推奨されています。

4. 推奨対策

4.1 本対策

• Sunhillo SureLineをバージョン8.7.0.1.1以降にアップグレードしてください。

4.2 暫定回避策（緩和策）

• Sunhillo SureLineのインターフェースを、オペレータのみがアクセスできるネットワークに制限してください。この脆弱性は認証を必要としません。
• ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することを検討してください。

5. 他に解説すべき観点

この脆弱性は、CISAの「Known Exploited Vulnerabilities Catalog」に登録されており、米国連邦政府機関は2024年3月26日までにこの脆弱性の修正または緩和措置を講じる必要があります。

参照したサイト

• CVE-2021-36380 – Sunhillo SureLine OS Command Injection Vulnerablity…
• CVE-2021-36380: Sunhillo SureLine — a diagnostic page wired to the shell | SCRTY:CRDS
• NVD-CVE-2021-36380 - NIST
• CVE-2021-36380 — Sunhillo SureLine OS Command Injection Vulnerablity - eVulnAble
• Sunhillo SureLine < 8.7.0.1.1 Unauthenticated OS Command Injection (CVE-2021-36380)
• CVE-2021-36380 Sunhillo SureLine networkDiag.cgi 特権昇格