Trusted Design

CVE-2021-40407 の詳細

CVEの情報

説明:
An OS command injection vulnerability exists in the device network settings functionality of reolink RLC-410W v3.0.0.136_20121102. At [1] or [2], based on DDNS type, the ddns->domain variable, that has the value of the domain parameter provided through the SetDdns API, is not validated properly. This would lead to an OS command injection. An attacker can send an HTTP request to trigger this vulnerability.

CVE更新日: 2022-01-28 20:15:11.607000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2024-12-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.476350000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-40407は、Reolink RLC-410W IPカメラに存在するOSコマンドインジェクションの脆弱性です。以下に各観点からの解説を記載します。

1. 脆弱性の概要

Reolink RLC-410Wファームウェアのデバイスネットワーク設定機能において、DDNSタイプのSetDdns APIエンドポイントを介して提供されるddns->domain変数の入力値が適切に検証されないことに起因するOSコマンドインジェクションの脆弱性です。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者が影響を受けるデバイス上で任意のOSコマンドを実行することが可能になります。これにより、デバイスの機密性、完全性、可用性が「高」に影響を受ける可能性があります。具体的には、不正なデバイス機能へのアクセスや機密データの漏洩のリスクがあります。

1.2 深刻度

CVSS v3.1の基本評価スコアは7.2（高 Severity）と評価されています。CVSS v3.1ベクトルはAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:Hです。 この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) Catalogに登録されており、実世界での悪用が確認されています。これは、この脆弱性がサイバー攻撃者によって積極的に利用されていることを意味し、迅速な対応が求められます。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Reolink RLC-410W IPカメラのファームウェアに存在します。 影響を受けるファームウェアバージョンは以下の通りです。 * Reolink RLC-410W Firmware version 3.0.0.136_20121102 * Reolink RLC-410W Hardware Device

2.2 影響を受ける設定

Reolink RLC-410Wのデバイスネットワーク設定におけるDDNSタイプに基づくddns->domain変数の処理が脆弱性の対象となります。

3. 影響を受けた時の兆候

この脆弱性はOSコマンドインジェクションであるため、以下のような兆候が現れる可能性があります。具体的な兆候に関する公式な報告は少ないものの、一般的な侵害の兆候が考えられます。 * デバイス上での予期せぬプロセス実行や設定変更。 * 不正なネットワーク通信の発生。 * デバイスのパフォーマンス低下やサービス停止。 * 普段と異なるログインパターンやデータ転送などの異常な動作。

4. 推奨対策

4.1 本対策

  • ファームウェアの更新: ベンダーであるReolink社から提供される修正済みのファームウェアに速やかに更新することが最も重要な対策です。CISA KEV Catalogに登録されているため、即座の対策が必要です。
  • 現在利用可能な修正プログラム（パッチ）がない場合、NVDでは製品の使用中止を推奨しています。

4.2 暫定回避策（緩和策）

  • ネットワークセグメンテーション: 影響を受けるデバイスを他の重要なネットワークセグメントから隔離し、外部からのアクセスを制限する。
  • 継続的な監視: デバイスのログを継続的に監視し、不審なアクティビティがないか確認する。
  • 不必要な管理アクセスの制限: 攻撃には高い特権（管理アクセス）が必要となるため、不必要な管理アクセスを制限する。

他に解説すべき観点

  • CISA Known Exploited Vulnerabilities (KEV) Catalogへの登録: この脆弱性は2024年12月18日にCISAのKEV Catalogに追加されました。これは、政府機関がこの脆弱性が積極的に悪用されていると判断しており、米国連邦政府機関が特定された期限までにこの脆弱性に対処することを義務付けていることを意味します。この事実から、企業や組織もこの脆弱性への対応を最優先事項として扱うべきです。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る