VIGI NVR1104H-4P V1 および VIGI NVR2016H-16MP V2 におけるOSコマンド インジェクションの脆弱性に関する声明 (CVE-2025-7723 および CVE-2025-7724)

セキュリティアドバイザリ

2025年7月22日 18:35:23 PM 2452更新

脆弱性の説明:

VIGI NVR1104H-4P V1およびVIGI NVR2016H-16MP V2には、OSコマンドインジェクションの脆弱性が存在することが判明しました。

脆弱性による脅威：

対象製品にログインした攻撃者によって、デバイスの基盤となるオペレーティング システム上で任意のコマンドを実行される可能性があります。

CVE-2025-7723:

CVSS v4.0 Score: 8.5 / High

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2025-7724:

CVSS v4.0 Score: 8.7 / High

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

対象製品/ファームウェアと対策ファームウェア:

推奨事項:

対象製品をお持ちのユーザーには、以下の対処を強くお勧めします。

1. 脆弱性を修正するためには、最新のファームウェアにアップグレードしてご利用ください。
2. ファームウェアのアップグレードをした後に、デバイスの設定をチェックして、すべての設定が正確かつ安全であり、意図した設定と一致していることを確認お願いします。

対象製品の最新ファームウェアとダウンロードリンクは以下の通りです。

https://www.tp-link.com/jp/support/download/vigi-nvr1104h-4p/#ファームウェア

https://www.tp-link.com/jp/support/download/vigi-nvr2016h-16mp/#ファームウェア

免責事項:

上記の推奨事項を講じない場合、この脆弱性は解消されません。当社は記載している推奨事項を講じることで回避できたはずの結果について、一切の責任を負うことはできませんので、ご了承ください。