Trusted DesignCVE-2022-40799 の詳細
CVEの情報
説明:
Data Integrity Failure in 'Backup Config' in D-Link DNR-322L <= 2.60B15 allows an authenticated attacker to execute OS level commands on the device.
CVE更新日: 2022-11-29 05:15:11.310000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2025-08-05
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.538900000
EPSS更新日: 2026-06-03 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2022-40799に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2022-40799は、D-Link DNR-322Lというクラウド対応ネットワークビデオレコーダー製品に存在する、データの整合性チェック不備の脆弱性です。具体的には、「Backup Config」機能におけるデータの整合性チェックの失敗により、認証された攻撃者がデバイス上でOSレベルのコマンドを実行できる可能性があります。この脆弱性は、CWE-494 (Download of Code Without Integrity Check) に分類されます。
1.1 影響 この脆弱性が悪用された場合、認証された攻撃者によってデバイス上でOSレベルのコマンドが実行される可能性があります。これにより、機密性、完全性、可用性に影響が及ぶ可能性があります。
1.2 深刻度 CVSS v3.1スコアは8.8であり、高 (HIGH) と評価されています。 CVSSベクトルは以下の通りです:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hこの脆弱性は、CISA (Cybersecurity and Infrastructure Security Agency) の「既知の悪用済み脆弱性カタログ (KEV)」に掲載されており、実際に悪用が確認されています。 EPSS (Exploit Prediction Scoring System) スコアは53.89%で、今後30日以内に悪用される確率が他のCVEの98%よりも高いことを示しており、悪用の可能性が高いとされています。2. 対象となる環境
2.1 影響を受けるOSバージョン D-Link DNR-322Lのファームウェアバージョンが
2.60B15以前のものが影響を受けます。2.2 影響を受ける設定 本脆弱性は、D-Link DNR-322Lの「Backup Config」機能に関連しています。コードの整合性チェックを行わずにダウンロード処理が行われるため、攻撃者が悪意のあるスクリプトを
rc.init.shに注入することで、再起動時に任意のコードを実行できる状態になります。3. 影響を受けた時の兆候
直接的な影響を受けた際の具体的な兆候は、検索結果には明示されていません。しかし、この脆弱性は認証された攻撃者によるOSレベルのコマンド実行を許すものであるため、以下のような兆候が考えられます。
4. 推奨対策
4.1 本対策 ベンダーの指示に従って緩和策を適用する必要があります。 CISAのBOD 22-01ガイダンスに従い、クラウドサービスに適用される緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止するべきです。
しかしながら、D-Link DNR-322Lはすでにサポート終了 (EOL: End of Life) の製品である可能性が高く、メーカーからの公式なセキュリティアップデートが提供されていない可能性があります。
4.2 暫定回避策（緩和策） * 製品の使用停止: もし緩和策が利用できない場合、当該製品の使用を中止することを強く推奨します。 * EOL機器の棚卸しと隔離: 組織内のEOL（サポート終了）状態の機器がネットワークに接続され続けていないかを確認し、そのような機器に対してネットワークセグメンテーション（ネットワーク分離）や監視設定を改めて実施することが重要です。
他に解説すべき観点
参照したサイト