TP-Link ビデオレコーダーの脆弱性 CVE-2025-7723／7724 が FIX：任意のコマンド実行の可能性

TP-Link Network Video Recorder Vulnerability Enables Arbitrary Command Execution

2025/07/24 gbhackers — TP-Link が公表したのは、同社の VIGI ネットワーク・ビデオ・レコーダー２機種に存在する、深刻なセキュリティ脆弱性に関する情報である。この脆弱性の悪用に成功した攻撃者は、基盤となる OS 上で任意でのコマンド実行の可能性を手にする。これらの脆弱性は CVE-2025-7723 (CVSS：8.5)／CVE-2025-7724 (CVSS：8.7) として特定されており、VIGI NVR1104H-4P V1／VIGI NVR2016H-16MP V2 デバイスに影響を及ぼすという。

脆弱性の詳細と攻撃ベクター

２つの脆弱性は、認証済および未認証の OS コマンド・インジェクション脆弱性に分類され、前述のレコーダーを利用する組織に重大なセキュリティ・リスクをもたらすものだ。

１つ目の脆弱性 CVE-2025-7723 は、認証済みの状態での悪用の可能性があり、CVSS v4.0 スコアは 8.5 と評価されている。

その一方で、２つ目の脆弱性 CVE-2025-7724 は、未認証のアクセス経路を開くものであり、さらに高いスコア 8.7 が付けられている。この CVE-2025-7724 は認証を必要としないため、パスワードを持たない攻撃者による悪用の可能性があり、特に危険とされている。

これらの脆弱性の要件としては、隣接ネットワーク・アクセスと複雑さの低さがあり、機密性／完全性／可用性に重大な影響を与える可能性が懸念されている。

この攻撃ベクターが示唆するのは、同じネットワーク・セグメント内の攻撃者が、これらの脆弱性を悪用し、影響を受けるデバイスを不正に制御する可能性である。

CVE IDProduct ModelAffected VersionFixed VersionCVSS Score
CVE-2025-7723VIGI NVR1104H-4P V1 , VIGI NVR2016H-16MP V2< 1.1.5 Build 250518 , < 1.3.1 Build 2504071.1.5 Build 250518 , 1.3.1 Build 2504078.5 (High)
CVE-2025-7724VIGI NVR1104H-4P V1 , VIGI NVR2016H-16MP V2< 1.1.5 Build 250518 , < 1.3.1 Build 2504071.1.5 Build 250518 , 1.3.1 Build 2504078.7 (High)

ネットワーク・ビデオ・レコーダー上での、任意のコマンド実行が懸念されるため、監視データなどを扱うエンタープライズ環境において、きわめて重大なセキュリティ・リスクとなる。この脆弱性が悪用されると、録画映像への不正アクセスと、デバイスの不正操作に加えて、侵害したデバイスを踏み台とするラテラル・ムーブメントなどの可能性も生じる。

すでに TP-Link は、以下のファームウェア更新プログラムをリリースし、これらの脆弱性を修正しており、パッチの速やかな適用を強く推奨している：

  • VIGI NVR1104H-4P V1：バージョン 1.1.5 Build 250518 に更新
  • VIGI NVR2016H-16MP V2：バージョン 1.3.1 Build 250407 に更新

対象デバイスを運用する組織に推奨されるのは、ファームウェアの速やかなアップデートに加えて、その後に徹底したセキュリティ評価を実施することである。

TP-Link が明示するのは、推奨されるセキュリティ対策を講じなかった場合に、これらの脆弱性が継続する可能性である。このアドバイザリへの対応が不十分な場合の結果については、責任を負わないと、同社は述べている。

今回の脆弱性が浮き彫りにするのは、IoT および監視機器において、最新のファームウェア・バージョンを維持し、堅固なネットワーク・セキュリティ対策を実装し続けることの重要性である。

TP-Link のネットワーク・ビデオ・レコーダーに、OS コマンド・インジェクションの脆弱性が発見されました。ユーザーからの入力を適切に処理しない状態で、OS に受け渡してしまう設計と実装の問題だと、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、TP-Link で検索も、ご参照ください。