D-Link DIR-890L/DIR-806A1ルーターの深刻な脆弱性CVE-2025-4340が公開、リモートコマンドインジェクションが可能に

記事の要約

• D-Link DIR-890LとDIR-806A1の脆弱性が公開された
• soap.cgiファイルのsub_175C8関数にコマンドインジェクションの脆弱性
• リモートからの攻撃が可能で、サポート終了製品に影響

D-Linkルーターの脆弱性情報公開

VulDBは2025年5月6日、D-Link DIR-890LとDIR-806A1ルーターの深刻な脆弱性に関する情報を公開した。この脆弱性は、/htdocs/soap.cgiファイル内のsub_175C8関数に存在するコマンドインジェクションであり、リモートから攻撃が可能であることが明らかになっている。

影響を受けるのは、100CNb11および108B03バージョンまでのDIR-890LとDIR-806A1だ。この脆弱性を利用した攻撃は既に公開されており、悪用される可能性があるため、早急な対策が必要となる。D-Linkはこれらの製品のサポートを終了しているため、ファームウェアのアップデートによる修正は提供されない。

この脆弱性情報は、セキュリティ研究者BabySharkによってVulDBに報告された。VulDBは、この脆弱性に関する詳細な情報を公開し、ユーザーへの注意喚起を行っている。CVE-2025-4340として登録されており、CVSSスコアは5.3（MEDIUM）と評価されている。

脆弱性詳細と影響範囲

コマンドインジェクション脆弱性について

コマンドインジェクションとは、攻撃者がシステムコマンドを実行させることができる脆弱性のことだ。この脆弱性を利用すると、攻撃者はシステムの制御を奪ったり、機密情報を盗んだりすることができる。

• 不正なコマンドの実行
• システムの乗っ取り
• データの改ざん・窃取

今回の脆弱性では、攻撃者は特別な権限を必要とせず、リモートからコマンドインジェクションを実行できる。そのため、テクノロジーに接続されているこれらのルーターは、攻撃の標的となりやすいのだ。

CVE-2025-4340に関する考察

D-Link DIR-890LとDIR-806A1の脆弱性CVE-2025-4340は、サポート終了製品に影響を与える深刻な問題だ。迅速な対策が求められるが、メーカーによるアップデートは期待できないため、代替製品への移行が現実的な解決策となるだろう。この脆弱性情報は、テクノロジーデバイスのセキュリティ対策の重要性を改めて示している。

今後、同様の脆弱性が他のIoTデバイスでも発見される可能性がある。そのため、メーカーは製品のライフサイクル全体を通してセキュリティ対策を継続し、脆弱性情報への迅速な対応体制を構築する必要がある。ユーザー側も、古いデバイスの使用を避け、セキュリティアップデートが提供される製品を使用することが重要だ。

さらに、セキュリティ研究者による脆弱性発見と公開は、セキュリティ向上に大きく貢献する。しかし、公開された脆弱性情報は悪用される可能性もあるため、適切な情報開示と対策のバランスが重要となる。この脆弱性を通して、テクノロジーデバイスのセキュリティ対策の重要性と、情報開示のバランスの難しさを再認識する必要がある。

参考サイト/関連サイト