Dahua製品に遠隔コード実行の脆弱性、修正版あり
DahuaのIntelligent Connection Centerに、認証なしでネットワーク越しにコマンドを実行されるおそれのある脆弱性が見つかりました。該当する版を使っているなら修正版へ更新し、外部公開の有無も点検してください。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も要らず、V5系には修正版が出ているため、公表直後の今のうちに更新を計画するのが妥当です。
関係があるか
DahuaのIntelligent Connection Centerを自社やグループ会社、委託先の拠点で動かしている組織が対象です。管理サーバーが社外のネットワークから届く構成だと、リスクが特に高くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Dahua Intelligent Connection Center(V1系) | V1.000.0000000.1以上、1.000.0000005.0以下 | この系統の修正版はベンダーの告知で確認が必要です |
| Dahua Intelligent Connection Center(V5系) | V5.000.0000000.6以上、V5.000.0000000.15未満 | V5.000.0000000.15 |
確かめ方
- 1Intelligent Connection Centerの管理画面やバージョン表示で、稼働中の版を確認します。
- 2導入を担当した部門や保守ベンダーに、社内のどこで動いているかを問い合わせて、台帳と突き合わせます。
- 3ファイアウォールやルーターの設定で、この製品のサービスがインターネットや他拠点から届くかどうかを確認します。
- 4版がV1系に当たる場合は、修正版の有無と移行方法をDahuaの告知で確認します。
何が起きたか
DahuaのIntelligent Connection Centerに、細工したリクエストを送られるだけで、任意のコマンドを実行されてしまう脆弱性が見つかりました。結果として、外部から遠隔でコードを実行される状態になります。
2026年10月30日に公表された脆弱性で、CVE-2025-31704として登録されています。分類はCWE-78のOSコマンドインジェクションで、外部から受け取った入力が、サーバー上のOSコマンドとして処理されてしまう型です。CVSS v3は9.8(critical)で、ベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。
V5系にはV5.000.0000000.15という修正版があります。筆者は、公表直後で攻撃の情報がまだ少ないうちに、更新と公開範囲の見直しを済ませておくのがよいと考えています。
攻撃の流れ
-
1
到達できる状態
対象の製品のサービスに、攻撃者がネットワーク経由で接続できる。
-
2
細工した要求
ログインなしで、特別に作られたリクエストが送られる。
-
3
コマンド実行
入力がOSコマンドとして処理され、任意のコマンドが動く。
-
4
サーバー掌握
情報の読み取りや設定の改ざん、サービス停止、ほかの機器への足がかりづくりにつながる。
どう悪用されるか
悪用に必要なのは、対象のサービスにネットワークから届くことだけです。認証は要らず、管理者や利用者がリンクを開くなどの操作も要りません。攻撃の複雑さは低いと評価されています。
悪用されると、サーバー上で任意のコマンドを実行されます。機密性、完全性、可用性のすべてに高い影響が出るという評価で、保存されている情報の閲覧や設定の書き換え、サービスの停止が起こりえます。サーバーが社内のほかの機器とつながっている場合は、そこから被害が広がることも考えられます。
今すぐやること
-
1
稼働中の版を洗い出す
Intelligent Connection Centerを動かしているサーバーを、拠点や委託先の分も含めて一覧にし、版を確認します。V1系とV5系で修正版の扱いが異なります。
-
2
修正版に更新する
V5系はV5.000.0000000.15へ更新します。V1系は、修正版の有無と移行の方法をDahuaの告知で確認し、保守ベンダーとも調整します。
-
3
ネットワークからの到達範囲を狭める
インターネットに直接公開している場合は、更新の前でも、許可した接続元だけが届くように制限します。
-
4
不審な動きがないか調べる
更新前の期間について、サーバーのログや外部への通信、見覚えのないプロセスやアカウントがないかを確認します。修正版を当てても、更新前の侵害は消えません。
すぐ更新できないとき
すぐに更新できないときは、この製品のサービスをインターネットや不要な拠点から届かないようにします。ファイアウォールで接続元を管理用の端末に限るか、VPNを経由した接続だけに絞ってください。これはつなぎの対策で、修正版の適用に代わるものではありません。
背景
Dahuaは映像監視機器などを手がけるメーカーです。Intelligent Connection Centerは同社の管理系の製品で、拠点の機器とつなぐ中心になるサーバーに置かれることが多いと考えられます。何を管理し、どの範囲に公開しているかは導入ごとに違うので、自社の構成に引き当てて確認が必要です。
今回のCWE-78（OSコマンドインジェクション）は、受け取った入力を十分に検査しないまま、OSのコマンドを組み立てる処理に渡してしまう型の脆弱性です。ログインなしで届く入口にこの型があると、機器の乗っ取りに直結しやすいため、CVSSも最高に近い9.8になっています。
よくある質問
Q.V1系を使っています。どうすればよいですか。
Q.更新したら、侵害の心配はなくなりますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Dahua | Intelligent Connection Center |
V1.000.0000000.1 〜 1.000.0000005.0 V5.000.0000000.6 以上 V5.000.0000000.15 未満 |
— V5.000.0000000.15 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability has been found in the Dahua Intelligent Connection Center. A remote attacker could send a specially crafted request to the affected system, allowing the attacker to execute arbitrary commands, resulting in remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cybersecurity@dahuatech.com
- web nvd.nist.gov
- web github.com