CISA KEV 警告 25/12/09：D-Link ルータの脆弱性 CVE-2022-37055 を登録

CISA Warns of D-Link Routers Buffer Overflow Vulnerability Exploited in Attacks

2025/12/09 CyberSecurityNews — D-Link ルーターに影響を与える深刻なバッファ・オーバーフロー脆弱性 CVE-2022-37055 が、CISA の Known Exploited Vulnerabilities (KEV) カタログに追加された。それが示すのは、すでに米連邦政府内の実環境で、この脆弱性の悪用が確認されていることである。この脆弱性は、影響を受ける D-Link ネットワーク・デバイスに依存する組織のネットワークに深刻なリスクをもたらすものだ。

バッファ・オーバーフローの脆弱性

D-Link ルーターの不適切なメモリ管理に起因する脆弱性を悪用する攻撃者は、バッファ・オーバーフロー状態を引き起こし、デバイス・レベル権限で任意コードを実行できる。それにより、ネットワーク・トラフィック／システム整合性／データ機密性の完全な制御が可能となる。

FieldDetails
CVE IDCVE-2022-37055
Vulnerability TypeBuffer Overflow
Affected ProductD-Link Routers
CVSS v3.1 Score9.8(Critical)
Attack VectorNetwork
CWE ClassificationCWE-120: Buffer Copy without Checking Size of Input
Product StatusEnd-of-Life (EoL) / End-of-Service (EoS)

この脆弱性は CVSS スコア 9.8 (Critical) と評価されており、機密性／整合性／可用性 のすべてに深刻な影響を及ぼす。また、この脆弱性は CWE-120 に関連するものであり、ネットワーク・デバイス攻撃で頻繁に悪用されるメモリ安全性の欠陥に分類される。

特に懸念されるのは、サポート終了 (EoL) またはサービス終了 (EoS) 状態にある D-Link 製品である。それらのルーターの多くはベンダーのセキュリティ・アップデートを受けられないため、組織が取れる修復オプションは限定される。したがって、企業環境で使用される旧式 D-Link デバイスにより、永続的なセキュリティ・ギャップが生じている。この脆弱性を積極的に悪用する攻撃者は、ネットワークへの永続的なアクセスを確立し、ラテラル・ムーブメント (横展開) キャンペーンを開始している。

こうした状況を受け、CISA は 2025年12月8日に勧告を発行し、2025年12月29日までに修復を完了するよう設定した。米連邦政府の組織は、この期限に向けて迅速に対応する必要がある。CISA が推奨するのは、ベンダー・パッチの速やかな適用である。サポート終了の D-Link 機器を運用している組織において、緩和策が利用できない場合には、対象デバイスの使用中止が最も現実的なセキュリティ対策となる。

さらに、脅威インテリジェンスの専門家たちによると、この脆弱性の悪用は比較的容易であるという。インターネット接続されたネットワークや、セキュリティの弱い企業環境において、無防備な D-Link ルーターを標的とする大規模な攻撃キャンペーンの可能性が高まっている。ネットワーク管理者が、最初に行うべきことはインベントリ監査である。すべての D-Link ルーターを特定した上で、サポート状況を文書化し、適切な修復戦略を実施する必要がある。

さらに、ユーザー組織にとって必要なことは、ネットワーク・セグメンテーションを見直し、悪用された場合のラテラル・ムーブメントのリスクを最小化することである。具体的に言うと、ルーターへの管理者アクセスを制限するファイアウォール・ルールや、疑わしいデバイス動作の監視が、修復期間中の追加防御層となる。

D-Link ルーターに存在する不適切なメモリ管理の脆弱性が、CISA の KEV カタログに追加されました。この脆弱性を悪用する攻撃者は、標的デバイスを完全に操作できてしまいます。また、サポートが終了した製品が多く残っており、修復手段が限られてしまう点も懸念されると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、CISA KEV での検索結果も、ご参照ください。