CVE-2021-4473
概要

Tianxin Internet Behavior Management System contains a command injection vulnerability in the Reporter component endpoint that allows unauthenticated attackers to execute arbitrary commands by supplying a crafted objClass parameter containing shell metacharacters and output redirection. Attackers can exploit this vulnerability to write malicious PHP files into the web root and achieve remote code execution with the privileges of the web server process. This vulnerability has been fixed in version NACFirmware_4.0.0.7_20210716.180815_topsec_0_basic.bin. Exploitation evidence was first observed by the Shadowserver Foundation on 2024-06-01 (UTC).

公表日 2026年4月7日22:16
登録日 2026年4月15日11:28
最終更新日 2026年4月25日0:12
CVSS3.1 : CRITICAL
スコア 9.8
ベクター CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC)
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C)
完全性への影響(I)
可用性への影響(A)
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:topsecgroup:tianxin_internet_behavior_management_system:*:*:*:*:*:*:*:* 4.0.0.7_20210716.180815
関連情報、対策とツール
共通脆弱性一覧

JVN脆弱性情報
Topsec Technologies Group Inc.のTianxin Internet Behavior Management SystemにおけるOS コマンドインジェクションの脆弱性
タイトル Topsec Technologies Group Inc.のTianxin Internet Behavior Management SystemにおけるOS コマンドインジェクションの脆弱性
概要

Tianxinインターネット行動管理システムのReporterコンポーネントのエンドポイントにはコマンドインジェクションの脆弱性が存在します。この脆弱性により、認証されていない攻撃者がシェルのメタキャラクタと出力リダイレクションを含む細工されたobjClassパラメータを送信することで任意のコマンドを実行できます。攻撃者はこの脆弱性を悪用して悪意のあるPHPファイルをウェブルートに書き込み、ウェブサーバープロセスの権限でリモートコード実行を達成する可能性があります。本脆弱性はバージョンNACFirmware_4.0.0.7_20210716.180815_topsec_0_basic.binで修正されました。攻撃の証拠は2024年6月1日(UTC)にShadowserver Foundationによって初めて観測されました。

想定される影響 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
対策

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

公表日 2026年4月7日0:00
登録日 2026年4月27日11:29
最終更新日 2026年4月27日11:29
影響を受けるシステム
Topsec Technologies Group Inc.
Tianxin Internet Behavior Management System 4.0.0.7_20210716.180815 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2026年04月27日]
  掲載
2026年4月27日11:29