米当局、IPカメラやNVRの脆弱性悪用で注意喚起 - EOL製品は使用中止を

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間12月18日、ネットワークビデオレコーダーやIPカメラに関する脆弱性4件の悪用について注意を喚起した。

NUUOやReolinkが提供する機器において2018年から2022年にかけて判明した脆弱性4件を「悪用が確認された脆弱性カタログ（KEV）」に追加したもの。米国内の行政機関へ指定された期間内に対策を講じるよう促すとともに広く注意を呼びかけている。

具体的には、NUUO製「NVRmini」に関するOSコマンドインジェクションの脆弱性「CVE-2018-14933」や、「NVRmini 2」に判明した認証不備の脆弱性「CVE-2022-23227」を追加した。いずれもサポートを終えており、使用を中止するよう要請している。

またReolink製IPカメラの複数モデルに関しては、認証済みユーザーによってコマンドを実行可能となる「CVE-2019-11001」「CVE-2021-40407」を追加している。これら製品に関してもサポートが終了している可能性があり、緩和策を適用できない場合は使用しないよう求めた。

いずれの脆弱性も攻撃の対象となっているものの、ランサムウェアの攻撃キャンペーンによる悪用は確認されていないとしている。

（Security NEXT - 2024/12/19 ）ツイート