本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 10.0 急ぎ度: 至急

D-Link M60に固定認証情報の脆弱性、攻撃コード公開済み

D-Link M60の1.12.B01で、内蔵するMQTTブローカーの認証情報が固定で埋め込まれた脆弱性が公表され、攻撃手法も公開されています。M60を使う組織は版を確認し、機器への外部からの通信を絞ったうえで、D-Linkの告知を確かめてください。

CVE-2026-125086 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆
記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 至急

CVSS v3・v4とも10で、ネットワーク越しに認証なしで悪用でき、攻撃手法も公開されている一方、修正版の記載が見当たらないためです。

関係があるか

D-LinkのM60をファームウェア1.12.B01で使っている組織と家庭が対象です。拠点や在宅勤務先に置いたM60も含まれます。

製品影響を受ける版修正版
D-Link M60 ファームウェア1.12.B01 CVEの記録に修正版の記載はありません。D-Linkの告知で確認が必要です

確かめ方

  1. 1社内・拠点・在宅勤務者の手元にあるD-Link M60を洗い出します。
  2. 2M60の管理画面で、ファームウェアの版が1.12.B01かどうかを確認します。
  3. 3M60の管理画面や内蔵サービスに、インターネットや信頼できないネットワークから届く経路がないかを、ファイアウォールの設定で確認します。

何が起きたか

D-Link M60のファームウェア1.12.B01に、機器へ組み込まれたMQTTブローカー用の認証情報が、固定の値のまま埋め込まれている脆弱性が見つかりました。この値を知る人は、ブローカーの認証を通過できます。

問題があるのは、emDaemonというコンポーネントのMQTTブローカーで、設定ファイル /etc/emDaemon/mosquitto.conf に関わる部分です。分類はCWE-798（ハードコードされた認証情報の使用）とCWE-259（ハードコードされたパスワードの使用）で、2026年11月10日に公表されました。

攻撃の手法はすでに公開されており、CVEの記録も悪用される可能性があると書いています。

攻撃の流れ

  1. 1

    認証情報の入手

    機器に固定で埋め込まれた認証情報が、公開情報などから知られます。

  2. 2

    ブローカーへ接続

    ネットワーク越しに、M60のMQTTブローカーへ接続します。

  3. 3

    認証を通過

    固定の値でログインでき、正規の利用者でなくても認証を通ります。

  4. 4

    機器への影響

    評価上は、機密性・完全性・可用性のすべてに高い影響が及びます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ネットワーク越しに攻撃でき、事前のログインや利用者の操作は要りません。攻撃の難易度は低いと評価されています。CVSSでは影響範囲が変わる（スコープが変化する）とされ、M60のMQTTブローカーだけでなく、ほかの部分にも影響が及ぶ想定です。

悪用された場合は、機密性・完全性・可用性のすべてで高い影響が出ると評価されています。具体的に何ができるかまでは、CVEの記録に書かれていません。

今すぐやること

  1. 1

    M60の台数と版を確認する

    社内外に置いたM60を洗い出し、管理画面でファームウェアの版が1.12.B01かどうかを確認します。

  2. 2

    D-Linkの告知で修正版を確認する

    D-Linkのサポートページとセキュリティ告知で、この脆弱性の修正版や回避策が出ていないかを確かめます。修正版が出ていれば、すぐに更新します。

  3. 3

    外部から届く経路を絞る

    修正版を当てられるまでの間、M60宛ての通信を境界のファイアウォールで必要最小限にします。具体的な方法は回避策に挙げました。

  4. 4

    不審な動きがないか調べる

    攻撃手法が公開されているため、M60の設定の変更、見覚えのない接続、通信量の急な増加がないかを、ルーターやファイアウォールのログで調べます。

  5. 5

    修正版が出ない場合は入れ替えを検討する

    D-Linkから修正版が示されず、通信を絞る対策も取れない場合は、重要な拠点から順に別の機器への入れ替えを検討します。

修正版がないあいだのつなぎ

修正版の有無を確認できるまでは、M60への外部からの通信を境界のファイアウォールで遮断するか、許可する送信元を管理用の端末に限ります。M60の管理画面や内蔵サービスを、インターネットへ公開しない構成にしてください。信頼できない端末が同じネットワークにつながる環境では、M60を別のネットワークに分けます。ただし、この回避策でM60の問題自体が消えるわけではありません。

背景

MQTTは、小さな機器どうしがメッセージをやり取りするための軽量な通信方式で、ブローカーと呼ばれる中継役が各機器のメッセージを受け渡します。M60のemDaemonには、このブローカーが入っています。mosquitto.conf は、オープンソースのMQTTブローカーMosquittoで使われる設定ファイルの名前です。

今回の分類であるCWE-798とCWE-259は、認証情報を製品に固定で埋め込んでしまう問題を指します。固定された値は利用者が機器ごとに変えられないため、一度知られると、同じ版の機器に通用しやすくなります。ファームウェアが入手できれば中身を調べられる点も、固定値の弱さです。

よくある質問

Q.M60の管理画面のパスワードを変えれば防げますか。
A.記録に書かれている問題は、設定ファイルに固定で埋め込まれた認証情報です。管理画面のパスワード変更で防げるとは書かれていないため、D-Linkの告知で修正版や対処法を確かめるまでは、通信を絞る対策を優先します。
Q.1.12.B01以外の版は安全ですか。
A.CVEの記録に影響する版として載っているのは1.12.B01だけです。ただし、ほかの版が安全だと確認されたとも書かれていないので、別の版を使っている場合もD-Linkの告知で対象かどうかを確認してください。

まだ分かっていないこと

  • CVEの記録とD-Linkのトップページには、修正版や回避策の記載がありません。
  • 悪用された場合に具体的に何ができるかは、CVEの記録に書かれていません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

A vulnerability has been found in D-Link M60 1.12.B01. Impacted is the function system of the file /etc/emDaemon/mosquitto.conf of the component emDaemon MQTT Broker. Such manipulation leads to hard-coded credentials. The attack can be executed remotely. The exploit has been disclosed to the public and may be used.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく