Kiloview E3 NDIエンコーダにroot権限のコマンド実行の弱点、修正版1.30あり
Kiloview E3 NDIエンコーダのファームウェア1.30未満に、ログインできるWeb利用者が機器のroot権限で任意のOSコマンドを実行できる弱点があります。映像配信や放送・イベント運用でこの機器を使っている組織が対象で、1.30以降へのファームウェア更新と管理画面の公開範囲の確認が必要です。実際の攻撃での悪用は、現時点で確認情報が示されていません。
急ぎ度: 早めに
CVSS v3.1で9.9と深刻度は最高クラスですが、悪用にはログイン済みのアカウントが必要で、実際の攻撃での悪用を示す情報も出ていないため、至急ではなく早めの対応が妥当です。
関係があるか
Kiloview E3 NDIエンコーダを使い、Webの管理画面にアクセスできる環境が影響を受けます。管理画面がインターネットや広い社内ネットワークから届く状態、または管理アカウントが共有・使い回しされている環境は特に注意が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Kiloview E3 Firmware(E3 NDIエンコーダ) | 1.30未満 | 1.30 |
確かめ方
- 1E3の管理画面にログインし、システム情報などの画面でファームウェアの版を確認します。1.30未満であれば対象です。
- 2設置している機器を洗い出します。配信スタジオ、会議室、イベント会場、拠点の機材室などに分散していることがあるため、機材台帳や現場担当者にも確認します。
- 3管理画面がどのネットワークから届くかを確認します。インターネットからの到達、ルーターのポート開放、広い範囲に開いた社内ネットワークがないかを見ます。
- 4管理アカウントを持つ人を一覧にし、共有アカウントや初期設定のままのパスワードが残っていないかを確認します。
何が起きたか
Kiloview社のE3 NDIエンコーダ（映像をネットワーク経由で送るための機器）のファームウェアに、機器の名前を変更する機能の入力チェック不足が見つかりました。管理画面にログインできる利用者が細工した入力を送ると、機器の内部で意図しない命令が実行され、機器を完全に乗っ取られるおそれがあります。修正版はファームウェア1.30です。
技術的には、システム制御サービスが機器の名前付け用のエンドポイントで受け取るhostnameパラメータを無害化せず、引用符で囲まないままシェルコマンドに渡していることが原因です。入力に特殊な文字を含めると、本来の処理とは別のコマンドを連結して実行させることができます。弱点の分類はCWE-78（OSコマンドインジェクション）で、実行はroot権限で行われます。
CVSS v3.1は9.9(CRITICAL)、CVSS v4.0は9.4です。攻撃にはネットワーク越しのアクセスと低い権限のログインが必要ですが、利用者の操作は要りません。影響範囲が機器の外にも及ぶ評価（スコープの変更）が付いています。米国CISAが産業制御システム向けの勧告（ICSA-26-295-01）として公表しています。
攻撃の流れ
-
1
管理画面へ到達
攻撃者がネットワーク経由でE3のWeb管理画面に接続できる状態であることが前提です。
-
2
ログインを得る
一般の管理用アカウントなど、認証済みの権限が必要です。
-
3
機器名の設定を悪用
機器名を変更する機能に、特殊な文字を含む値が送られます。
-
4
コマンドが実行
入力が無害化されないままシェルに渡され、root権限で命令が実行されます。
-
5
機器を掌握
設定や映像の改ざん、機器の停止、同じネットワーク内への足がかりに使われるおそれがあります。
どう悪用されるか
悪用にはネットワーク越しにWeb管理画面へ到達でき、さらにログイン済みであることが必要です。認証なしで直接攻撃できる弱点ではありません。一方で、特別な条件や利用者の操作は要らず、手順は難しくないと評価されています（攻撃条件の複雑さは低）。共有アカウントや弱いパスワード、初期設定のままの認証情報が残っていると、前提のハードルが大きく下がります。
悪用された場合、root権限で任意のコマンドが実行され、機器の完全な乗っ取りにつながります。配信内容の改ざんや停止、設定の書き換え、機器内の情報の持ち出しが想定されます。また、機器を踏み台にして同じネットワーク内の他の機器へ攻撃を広げられるおそれもあります。実際の攻撃での悪用が確認されたかどうかは、現時点で明らかになっていません。
今すぐやること
-
1
対象機器と版を洗い出す
社内や拠点にあるE3 NDIエンコーダを一覧にし、ファームウェアの版を確認します。1.30未満のものが更新の対象です。
-
2
ファームウェア1.30以降へ更新する
Kiloviewの公式ダウンロードページから1.30以降を入手して適用します。配信や放送に使っている機器は、運用への影響を見て作業時間を決め、更新前に設定のバックアップを取ります。
-
3
管理画面の公開範囲を絞る
インターネットからの到達を止め、管理用ネットワークや特定の端末からのみ接続できるようにします。ルーターのポート開放が残っていないかも確認します。
-
4
アカウントとパスワードを見直す
共有アカウントや初期設定のパスワードをやめ、推測されにくい固有のパスワードに変更します。不要なアカウントは削除します。
-
5
不審な兆候を確認する
機器名が意図しない値になっていないか、見覚えのない設定変更や再起動、通信がないかを確認します。見つかった場合は機器を隔離し、ベンダーに相談します。
すぐ更新できないとき
すぐに更新できない場合は、管理画面へのアクセスを信頼できる管理端末だけに限定し、インターネットから到達できない状態にします。あわせて管理アカウントのパスワードを見直し、使っていないアカウントを無効にします。これらは悪用の前提を減らす対策であり、弱点そのものは残るため、早めに1.30以降へ更新してください。
背景
NDIエンコーダは、カメラやHDMIなどの映像をネットワーク上へ送り出す機器で、放送、ライブ配信、イベント、教育現場、会議室設備などで使われます。専用機器として設置され、業務用PCやサーバーほど更新管理の対象にならないことも多く、気づかないまま古いファームウェアで動き続けやすい種類の製品です。
OSコマンドインジェクションは、ユーザー入力を十分に検証しないままシェルコマンドに渡すことで起きる、古くから知られた弱点です。ルーター、カメラ、ネットワーク機器など組み込み機器の管理画面でも繰り返し見つかってきました。機器の管理画面でroot権限が得られる場合、被害が機器単体にとどまらず、ネットワーク内への侵入の足がかりになることがあります。
よくある質問
Q.ログインが必要なら、あまり心配しなくてよいですか。
Q.すでに攻撃に使われていますか。
Q.修正版はどこで入手できますか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無や、悪用された場合の具体的な被害の状況は公表されていません。
- E3以外のKiloview製品が同じ問題の影響を受けるかどうかは、現時点で明らかになっていません。ベンダーの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Kiloview | E3 Firmware |
1.30 未満 |
1.30 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The system control service on affected Kiloview E3 NDI encoder firmware fails to sanitize the hostname parameter accepted by its device naming endpoint, passing it unquoted into a shell command. An authenticated web user with access to this function can embed characters to execute arbitrary operating system commands as root, resulting in full device compromise.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web ics-cert@hq.dhs.gov
- web nvd.nist.gov
- web kiloview.com
- web github.com