D-Link製NASデバイスの重大な欠陥が悪用される　パッチリリース予定なし：CVE-2024-10914

CVE-2024-10914：D-Link製NASデバイスの重大な欠陥が悪用される、パッチはなし！

Securityonline[.]info – November 13, 2024

廃番となったD-Link製NASデバイスに影響を与える深刻な脆弱性の悪用が、現在進行形で実施されている。

この欠陥CVE-2024-10914（CVSS v3スコア：9.2）は、システム全体の侵害に繋がる恐れのあるコマンドインジェクションの脆弱性。cgi_user_addコマンド内に存在するもので、「name」パラメータが十分にサニタイズされないために生じる。認証されていない攻撃者はこれを悪用することで、特別に細工されたHTTP GETリクエストを介し、任意のシェルコマンドを注入できるようになる。

同脆弱性の影響を受けるのは以下のモデル。

• DNS-320 バージョン 1.00
• DNS-320LW バージョン 1.01.0914.2012
• DNS-325 バージョン 1.01、バージョン 1.02
• DNS-340L バージョン 1.08

Netsecfishの調査により、この欠陥に脆弱な可能性のある、インターネット上に露出したデバイスが6万台以上あることが確認された。また脅威モニタリングサービスのShadowserverは、11月12日以降これらのデバイスを悪用しようとする事例をいくつか観測したと報告している。

D-Linkは上記のデバイスのサポートが終了していることを理由に、パッチをリリースする予定がないことを正式に発表した。ユーザーは脆弱なデバイスの使用を直ちに中止するか、緩和策をとることが重要である。

ランサムウェアレポート＆インテリジェンス要件定義ガイド、無料配布中！

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価