SSD Secure Disclosureは5月14日(現地時間)、「SSD Advisory - D-Link DIR-X4860 Security Vulnerabilities - SSD Secure Disclosure」において、D-LinkのWi-Fi 6ルータ「DIR-X4860」にゼロデイの脆弱性を発見したと報じた。この脆弱性を悪用されると、認証されていない第三者に遠隔から管理者権限で任意のコマンドを実行される可能性がある。
-
SSD Advisory - D-Link DIR-X4860 Security Vulnerabilities - SSD Secure Disclosure
脆弱性の影響を受ける製品
脆弱性の影響を受けるとされる製品およびバージョンは次のとおり。
- DIR-X4860 ファームウェアバージョンDIRX4860A1_FWV1.04B03
脆弱性の情報
発見された脆弱性はホームネットワーク管理プロトコル(HNAP: Home Network Administration Protocol)の実装に存在する。この脆弱性により、不適切な認証処理によりパスワードを知らなくても管理者として認証が可能なうえ、コマンドインジェクションの脆弱性が存在するため管理者として任意のコマンドを実行することができる。
脆弱性の影響と対策
SSD Secure Disclosureはこれまでに3回ベンダーに連絡を試みたが、返事はなかったと説明している。そのため、脆弱性の修正を待たずに詳細の公開に踏み切っており、概念実証(PoC: Proof of Concept)コードも公開している。
詳細と概念実証コードが公開されたため、この脆弱性はゼロデイの脆弱性となっており、深刻度も緊急または重要に相当すると推測され注意が必要。該当する製品の管理者には修正パッチが公開されるまでの間、遠隔管理(Remote Management)機能を無効にするか、または攻撃者がアクセスできない安全なネットワーク内で利用することが推奨される。
