AXIS Camera Stationに重大な脆弱性、修正版あり
監視カメラの録画・管理に使うAXIS Camera Stationに、CVSS v3が9.9の脆弱性が公表されました。該当版を使っている組織は、修正版への更新を急いでください。
急ぎ度: 早めに
CVSS v3は9.9と最高に近く、ネットワーク経由で利用者の操作なしに悪用できる評価ですが、修正版が公開済みのため、早めの更新で対処できます。
関係があるか
AXIS Camera Station ProまたはAXIS Camera Station 5で映像を管理している組織が対象です。店舗・工場・施設の防犯カメラ基盤に使っている場合は、サーバーが社内ネットワークのどこから見えるかも合わせて確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| AXIS Camera Station Pro | 6.0以上、6.17未満 | 6.17 |
| AXIS Camera Station 5 | 5.0以上、5.59 SR2未満 | 5.59 SR2 |
確かめ方
- 1Camera Stationを動かしているサーバーとクライアントのPCを洗い出し、製品がProか5かを確認する。
- 2各PCにインストールされているCamera Stationの版を調べ、上の表の影響範囲に入るか照らし合わせる。
- 3資産台帳に載っていない拠点や部門の導入分がないか、施設・設備の担当部門にも聞く。
何が起きたか
AXIS Camera Station ProとAXIS Camera Station 5に、攻撃者によってシステムを侵害されるおそれのある脆弱性が見つかり、2026年11月10日にCVEとして公表されました。Axis Communicationsは該当版を修正した更新版を出しています。
弱点の種類はCWE-1287で、指定された型の入力を正しく検証しない問題に分類されています。想定外の形式のデータを受け取ったときに、ソフトウェアが適切に拒否できない種類の不備です。
CVSSの評価では、機密性・完全性・可用性への影響がいずれも高く、影響がCamera Station自体の範囲を越えて及ぶ可能性（スコープの変更）も付いています。そのため、スコアが9.9まで上がっています。
攻撃の流れ
-
1
サーバーに到達
攻撃者がネットワーク経由でCamera Stationに接続できる位置を得ます。
-
2
低権限で認証
低い権限のアカウントでログインします。
-
3
入力検証の不備
想定されない型の入力が正しく検証されない点を突きます。
-
4
システムを侵害
録画・管理システムの情報や設定、動作に影響が及びます。
-
5
影響が外へ拡大
Camera Stationの範囲を越えて、ほかの資産に影響が広がるおそれがあります。
どう悪用されるか
悪用には、ネットワーク経由でCamera Stationに接続できることと、低い権限のアカウントが必要です。利用者の操作は要らず、攻撃条件の複雑さも低いと評価されています。
悪用された場合は、映像や設定の閲覧、記録や設定の改ざん、サービスの停止といった被害が想定されます。機密性・完全性・可用性の影響がすべて高と評価されているためです。影響範囲が変わる評価なので、録画サーバーを足がかりに、ほかのシステムへ被害が及ぶことも考えておく必要があります。
今すぐやること
-
1
対象の版かどうかを確認する
Camera Station ProとCamera Station 5のどちらを使っているか、版がいくつかを、サーバーとクライアントの両方で確認します。
-
2
修正版へ更新する
ProはAXISが示す修正版に、Camera Station 5も同じく修正版に更新します。更新前には録画データと設定のバックアップを取り、録画が止まる時間帯を現場と調整しておきます。
-
3
ベンダーの告知を読む
Axis Communicationsが出している、このCVEの告知文書（PDF）を確認します。悪用の条件の細部や回避策、更新手順の注意が載っている可能性があります。
-
4
低権限アカウントを棚卸しする
悪用には低い権限のアカウントが前提になります。使われていないアカウントや、共有されているアカウントを整理し、パスワードを見直します。
-
5
接続できる範囲を絞る
Camera Stationのサーバーに、どのネットワークや端末から届くかを確認します。インターネットから直接見えていないか、必要のない部門から届いていないかを点検します。
すぐ更新できないとき
更新までに時間がかかる場合は、つなぎとして、Camera Stationに接続できる端末とネットワークを管理用に限定し、不要なアカウントを無効にします。ただし、これは悪用のしやすさを下げるだけの対策です。ベンダーが正式な回避策を示しているかは、告知文書で確認してください。
背景
AXIS Camera Stationは、Axisのネットワークカメラを束ねて、映像の録画・再生・設定を一台のサーバーとクライアントで扱う映像管理ソフトウェアです。店舗や工場、施設の防犯・安全管理に使われます。今回の対象は、現行系のCamera Station Proと、5系のCamera Station 5です。
録画サーバーは、多数のカメラの映像と設定、利用者のアカウントを集める場所です。侵害されると、見られる映像が増えるだけでなく、記録の改ざんや停止によって、事故や不正の調査にも響きます。入力の型を検証しない種類の脆弱性は、プログラムが想定外の形式のデータを受け取ったときの扱いを突くもので、認証後の機能に潜んでいても被害が大きくなります。
よくある質問
Q.カメラ本体のファームウェアも更新が必要ですか。
Q.社内ネットワークだけで使っていれば、後回しにしてよいですか。
まだ分かっていないこと
- CVE記録の説明は一文だけで、脆弱性のある具体的な機能や悪用の細部は記されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Axis Communications ABAXIS Camera Station Pro |
6.0 以上 6.17 未満→ 6.17 |
6.17 |
| Axis Communications ABAXIS Camera Station 5 |
5.0 以上 5.59 SR2 未満→ 5.59 SR2 |
5.59 SR2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability that could allow an attacker to compromise a system.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web product-security@axis.com
- web nvd.nist.gov
- web github.com