JVNVU#95945430: D-Link DSL-2730u に OS コマンドインジェクションの脆弱性

D-Link DSL-2730u には、OS コマンドインジェクションの脆弱性が存在します。

D-Link DSL-2730u には、許可されたコマンドのリストによるチェック方法に問題があり、任意の OS コマンドが実行可能な脆弱性が存在します。

認証されたユーザによって、ホワイトリストで許可されていない OS コマンドが実行される可能性があります。

2012年12月13日現在、対策方法はありません。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

ベンダ	リンク
D-Link	DSL-2730u Wireless N 150 ADSL2+ 4-Port Router

US-CERT Vulnerability Note VU#876780
D-Link DSL2730U router restricted telnet shell command whitelisting bypass

2012.12.13における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	システムに正規登録されている一般ユーザのアカウントが必要	低 - 中
攻撃成立に必要なユーザーの関与	ユーザが何もしなくても脆弱性が攻撃される可能性がある	高
攻撃の難易度	ある程度の専門知識や運 (条件が揃う確率は高い) が必要	中 - 高

JVNVU#95945430 D-Link DSL-2730u に OS コマンドインジェクションの脆弱性