Trusted Design

CVE-2016-6277 の詳細

CVEの情報

説明:
NETGEAR R6250 before 1.0.4.6.Beta, R6400 before 1.0.1.18.Beta, R6700 before 1.0.1.14.Beta, R6900, R7000 before 1.0.7.6.Beta, R7100LG before 1.0.0.28.Beta, R7300DST before 1.0.0.46.Beta, R7900 before 1.0.1.8.Beta, R8000 before 1.0.3.26.Beta, D6220, D6400, D7000, and possibly other routers allow remote attackers to execute arbitrary commands via shell metacharacters in the path info to cgi-bin/.

CVE更新日: 2016-12-14 16:59:00.350000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-03-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.998030000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2016-6277は、複数のNETGEAR製ルータに存在するリモートからの任意のコード実行（RCE）の脆弱性です。

1. 脆弱性の概要

NETGEAR製の複数のルータが、認証されていないウェブページからのフォーム入力を直接コマンドラインインターフェースに渡してしまうことで、リモートからの任意のコード実行を許してしまう脆弱性です。これはシェルメタ文字を介したコマンドインジェクションによって発生します。

  • CWE (Common Weakness Enumeration) ID: CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')に分類されます。

1.1 影響

リモートの攻撃者が、特別に細工されたURLにアクセスさせることで、影響を受けるルータ上で管理者権限で任意のコマンドを実行する可能性があります。 これにより、ルータの完全な制御を奪われる可能性があります。 また、LAN内の認証されていない攻撃者は、直接リクエストを発行することで同様の攻撃を実行可能です。 この脆弱性は、IoTボットネット（例: Mozi、Wicked）によっても悪用されたことが確認されています。

1.2 深刻度

  • CVSSv3.x スコア: 8.8 (High)
    • 攻撃元区分: ネットワーク (AV:N)
    • 攻撃条件の複雑さ: 低 (AC:L)
    • 攻撃に必要な特権レベル: 不要 (PR:N)
    • 利用者の関与: 要 (UI:R)
    • 影響の想定範囲: 変更なし (S:U)
    • 機密性への影響: 高 (C:H)
    • 完全性への影響: 高 (I:H)
    • 可用性への影響: 高 (A:H)
  • CVSSv2.0 スコア: 9.3 (High)
    • 攻撃元区分: ネットワーク (AV:N)
    • 攻撃条件の複雑さ: 中 (AC:M)
    • 攻撃前の認証要否: 不要 (Au:N)
    • 機密性への影響: 全面的 (C:C)
    • 完全性への影響: 全面的 (I:C)
    • 可用性への影響: 全面的 (A:C)
  • CISA Known Exploited Vulnerabilities (KEV) Catalog: この脆弱性はCISAのKEVカタログに登録されており、実環境での悪用が確認されています。 CISAは、CVSSスコアに関わらず、KEVに登録された脆弱性を優先的に対処することを推奨しています。
  • EPSS (Exploit Prediction Scoring System) スコア: 非常に高い確率で悪用される可能性が示されています (93.986% または 99.781%)。

2. 対象となる環境

複数のNETGEAR製ルータが影響を受けます。

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、NETGEARルータのファームウェアバージョンが影響を受けます。以下は影響を受けることが確認されているモデルと、それより前の特定のファームウェアバージョンの一部です。

  • NETGEAR R6250 (ファームウェアバージョン 1.0.4.6.Beta より前)
  • NETGEAR R6400 (ファームウェアバージョン 1.0.1.18.Beta より前)
  • NETGEAR R6700 (ファームウェアバージョン 1.0.1.14.Beta より前)
  • NETGEAR R6900
  • NETGEAR R7000 (ファームウェアバージョン 1.0.7.6.Beta より前)
  • NETGEAR R7100LG (ファームウェアバージョン 1.0.0.28.Beta より前)
  • NETGEAR R7300DST (ファームウェアバージョン 1.0.0.46.Beta より前)
  • NETGEAR R7900 (ファームウェアバージョン 1.0.1.8.Beta より前)
  • NETGEAR R8000 (ファームウェアバージョン 1.0.3.26.Beta より前)
  • NETGEAR D6220
  • NETGEAR D6400
  • NETGEAR D7000

2.2 影響を受ける設定

この脆弱性は、ルータのCGIスクリプトにおける入力値の不適切な検証に起因します。 特に、cgi-bin/へのパス情報にシェルメタ文字が挿入されることで、任意のコマンドが実行されてしまいます。

リモート管理機能が有効になっている場合、WAN側からの攻撃を受ける可能性が高まります。

3. 影響を受けた時の兆候

  • ルータの異常な動作や設定の変更。
  • 見覚えのないプロセスが実行されている。
  • ネットワークトラフィックの異常な増加。
  • ルータの管理画面にアクセスできない。
  • CISA KEVカタログに登録されているため、悪用されている可能性があります。 組織は、ログに異常なコマンド実行パターンやルータ管理インターフェースを標的とした異常なWebリクエストがないか監視する必要があります。 また、疑わしい活動に対するアラートを設定することが、潜在的な悪用試行の早期検出に役立ちます。

4. 推奨対策

4.1 本対策

  • ファームウェアのアップデート: NETGEARは、この脆弱性に対処するファームウェアアップデートをリリースしています。 対象のNETGEARルータを使用している組織は、ベンダーの指示に従ってファームウェアを最新バージョンにアップデートすることが強く推奨されます。

4.2 暫定回避策（緩和策）

  • ウェブサーバの無効化: 脆弱性自体を利用して、ルータで動作しているウェブサーバを一時的に停止させることが可能です。これにより、ルータの管理画面は使用できなくなりますが、機器を再起動すると元の脆弱な状態に戻ります。
    • 例: http://<router_IP>/cgi-bin/;killall$IFS'httpd' にアクセスする。
  • リモート管理機能の無効化: リモート管理機能が有効になっていると、WAN側から攻撃を受ける可能性があります。リモート管理機能は無効にしてください（通常、デフォルトで無効になっています）。
  • ネットワークセグメンテーション: パッチが利用できない場合、脆弱なデバイスへのアクセスを制限するためにネットワークセグメンテーションの実装を検討してください。
  • 使用停止の検討: 対策済みファームウェアへの更新が行われるまで、当該製品の使用停止を検討してください。
  • 強力なパスワード設定: デバイスに強力なパスワードが設定されていることを確認してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る