Trusted Design

解説:

CVE-2022-23227に関する脆弱性調査結果を以下に解説します。

---

1. 脆弱性の概要

CVE-2022-23227は、NUUO NVRmini2ネットワークビデオレコーダーデバイスに存在する認証バイパスの脆弱性です。この脆弱性は、handle_import_user.phpスクリプトにおける認証チェックの欠如に起因し、認証されていないリモート攻撃者が暗号化されたTARアーカイブをデバイスにアップロードし、任意のユーザーアカウントを作成することを可能にします。この脆弱性は、別の脆弱性（BusyBoxにおけるパス・トラバーサルであるCVE-2011-5325）と組み合わせることで、Webルート下の任意のファイルを上書きし、root権限でのリモートコード実行（RCE）を達成する可能性があります。

1.1 影響

この脆弱性は「Missing Authentication for Critical Function (CWE-306)」に分類されます。攻撃者は、認証なしで重要なユーザーインポート機能を呼び出し、悪意のあるアーカイブをアップロードできます。結果として、認証されていない攻撃者はデバイスの完全な侵害（rootレベルのアクセス）を達成し、監視インフラストラクチャを危険にさらしたり、内部ネットワークへの侵入の足がかりとしたりする可能性があります。本脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されており、実際に悪用されていることが確認されています。

1.2 深刻度

CVSS v3の基本スコアは9.8であり、「緊急（Critical）」と評価されています。 Exploit Prediction Scoring System (EPSS) スコアは49.431%（99パーセンタイル）であり、30日以内にこの脆弱性が悪用される確率が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、NUUO NVRmini2デバイスのファームウェアに影響します。特定の一般的なOSバージョン（WindowsやmacOSなど）に直接影響するものではありません。

2.2 影響を受ける設定

NUUO NVRmini2ファームウェアバージョン3.11までが影響を受けます。 handle_import_user.phpスクリプトに認証がないことが根本原因であるため、認証チェックが実装されていないデフォルトの構成が脆弱です。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、以下のような兆候が現れる可能性があります。

• デバイス上に意図しない、または不正なユーザーアカウントが作成される。
• NVRmini2デバイス上での予期しない動作や設定変更。
• 監視フィードの侵害または異常なアクティビティ。
• NVRから他の内部ネットワークへの横方向の移動を示す痕跡。
• Webルート下のファイルが上書きされるなど、システムファイルの改ざん。

4. 推奨対策

4.1 本対策

影響を受ける製品（NUUO NVRmini2）は、すでにEnd-of-Life (EoL) および End-of-Service (EoS) となっています。そのため、ベンダーからの修正パッチは提供されていません。 CISAは、影響を受ける製品の使用を中止することを強く推奨しています。

4.2 暫定回避策（緩和策）

本脆弱性に対する具体的な暫定回避策は、提供されている情報からは確認できませんでした。製品がEoLであるため、ベンダーからの緩和策は公開されていません。

---

参照したサイト

• CVE-2022-23227: Nuuo NVRmini2 Auth Bypass Vulnerability - SentinelOne
• NVD-CVE-2022-23227 - NIST
• NUUO NVRmini2 through 3.11 allows an unauthenticated... · CVE-2022-23227 - GitHub
• CVE-2022-23227 on CISA KEV — NUUO NVRmini2 through 3 - SARA Open
• CVE Program Container (CVE-2022-23227) | HOL Guard CVE
• 「Cisco IOS XR」にセキュリティアップデート - 多数脆弱性に対処 - Security NEXT