シェルのメタキャラクタ（`;`、`|`、`&`、`` ` ``、`$()`、`&&`、`||`、改行）は、**コマンド終了**と**任意の二次コマンド**を可能にします。

### CVSS 10.0 が妥当である理由

公開されたベクタ内のすべてのCVSS 4.0影響メトリクスは、**後続システム**への影響も含めて**High**です:

| プロパティ | 値 | 意味 |
|---|---|---|
| `AV:N` | ネットワーク | WAN経由での悪用が可能 |
| `AC:L` | 低複雑性 | 単一の細工されたHTTPリクエスト |
| `AT:N` | 特別な攻撃要件なし | デフォルト構成で悪用可能 |
| `PR:N` | 特権不要 | アカウント不要 |
| `UI:N` | ユーザー操作不要 | 完全に自動化された悪用 |
| `VC/VI/VA:H` | EIMSホスト上の完全なCIA侵害 | 完全な侵害 |
| `SC/SI/SA:H` | 後続システムでもHigh | EIMSは中央統合ハブである |

これは、CVSS 4.0で公開され得る最も深刻なスコアの1つです。

### EIMSアーキテクチャのコンテキスト（運用）

EIMSは通常、セキュリティアーキテクチャ内で**中央集約的**に配置されます:```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

### 脆弱なシステムへの影響```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

---

## CWE 分類

| # | CWE ID | 名前 | 関連性 |
|---|---|---|---|
| 1 | **CWE-78** | [Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')](https://cwe.mitre.org/data/definitions/78.html) | `captureCommand` が無害化なしで OS コマンド実行に渡される |

### 関連する弱点（コンテキスト）

| CWE | 名前 | 関係 |
|---|---|---|
| CWE-77 | Command Injection (generic) | 親カテゴリ |
| CWE-306 | Missing Authentication for Critical Function | 危険なハンドラへの未認証での到達可能性 |
| CWE-20 | Improper Input Validation | 根本的な検証の欠陥 |
| CWE-434 | Unrestricted Upload | CVE の核心ではなく、侵害後のフォローオンとなる可能性 |

---

## 攻撃の前提条件

| 前提条件 | 必須? | 備考 |
|---|---|---|
| 有効な EIMS 認証情報 | **いいえ** | 未認証 |
| 被害者のユーザー操作 | **いいえ** | 単一の HTTP リクエストで十分 |
| 事前の侵害 | **いいえ** | 単独で悪用可能 |
| EIMS HTTP(S) へのネットワーク到達性 | **はい** | `capture_handle.action` にアクセス可能 |
| 脆弱なバージョン（`< 2240008`） | **はい** | パッチ適用済みバージョンは影響を受けない |
| インターネット公開 | **不要** | LAN/WAN/VPN から到達可能なインスタンスも同様にリスクがある |

**リモートで悪用可能:** **はい**

---

## 悪用シナリオ

### シナリオ 1 — インターネット公開 EIMS（Shodan / ZoomEye）

攻撃者はインターネットスキャンエンジン上で `app="Dahua EIMS"` ホストを列挙し、`capture_handle.action` にコマンドインジェクションを行い、ウェブシェルまたはリバースシェルを展開して、企業のセキュリティデータベースを外部に持ち出します。

### シナリオ 2 — ランサムウェア事業者による大規模キャンペーン

自動スキャナが脆弱なインスタンスを特定します。攻撃者は EIMS ホストと接続されたファイル共有を暗号化し、物理アクセス制御と来訪者管理の統合がオフラインになる間、身代金を要求します。

### シナリオ 3 — 境界侵害からの横移動

攻撃者は DMZ の Web サーバを侵害し、共有管理 VLAN 上の内部から到達可能な EIMS インスタンスへピボットし、ホストに保存されている EIMS 認証情報/API キーを使用して、後段のドアコントローラやカメラとやり取りします。

### シナリオ 4 — 内部関係者のいないスパイ活動

国家支援または犯罪組織の攻撃者は、サービスを再起動することなく、要員のアクセスログ、来訪者記録、建物のマップを静かに外部に持ち出し、cron/systemd のバックドアを介して長期的な永続化を維持します。

### シナリオ 5 — サプライチェーン / インテグレータ MSP

マネージドサービスプロバイダは、多数の顧客向けに 1 つの EIMS インスタンスをホストしています。単一の侵害がそのサーバ上の**すべてのテナント**に影響し、集中的な壊滅的障害をもたらします。

---

## 影響評価

### 技術的影響

| 領域 | 評価 | 詳細 |
|---|---|---|
| 機密性 | **高** | ファイルシステム全体と DB の読み取りアクセスが典型的 |
| 完全性 | **高** | 任意のファイル書き込み、設定改ざん、バックドア |
| 可用性 | **高** | プロセス強制終了、データ消去、ランサムウェア |
| 後続システム | **高** | 統合認証情報により下流での悪用が可能 |

### ビジネス影響

| セクター | 結果 |
|---|---|
| **企業キャンパス** | アクセス制御の回避、来訪者データの漏えい |
| **政府 / 重要インフラ** | 物理セキュリティ全体にわたる制御プレーンの侵害 |
| **医療** | HIPAA 関連のアクセスログ露出 |
| **教育** | 学生/職員の安全システムの操作 |
| **インテグレータ / MSP** | 1 台のホストからの複数顧客侵害 |

### 規制および法的リスク

EIMS の侵害は以下を引き起こす可能性があります：

- 侵害通知義務（GDPR、州のプライバシー法など）
- 規制業界における重要インフラの報告
- 物理セキュリティ顧客との契約上の SLA 違約金

---

## 資産発見

### ZoomEye クエリ

| プラットフォーム | クエリ | リンク |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [ZoomEye で検索](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### 防御用インベントリ（許可された場合のみ）

| 方法 | 対応 |
|---|---|
| **CMDB / ライセンス記録** | すべての EIMS インストールとバージョンを一覧化 |
| **VM インベントリ** | アプリケーションサーバ上の Dahua EIMS パッケージを検索 |
| **リバースプロキシ構成** | `capture_handle.action` にルーティングするアップストリームを特定 |
| **脆弱性スキャナ** | 公開されたシグネチャを使用してベンダー承認のチェックを実行 |
| **インターネット攻撃面** | 所有するパブリック IP と ZoomEye の結果を比較 |

> 所有している資産、または明示的にテストを許可された資産のみをスキャンしてください。

---

## 検出と侵害の指標

### ネットワーク指標

- HTTP `GET`/`POST` の **`/capture_handle.action`** への送信、またはパス接尾辞の一致
- リクエストに **`captureCommand=`** とシェルメタ文字またはエンコードされた等価物（`%3B`、`%7C`、`%26`、`%24`、`` %60 ``、`%0A`）が含まれる
- **4xx/5xx** レスポンスの急増に続く、EIMS ホストからの**新しいアウトバウンド接続**
- 異常な HTTP 後のアプリケーションサーバからの予期しない**DNS クエリ**または**ビーコン通信**

### ホスト指標

- EIMS サーバ上の新しい**cron ジョブ**、**スケジュール済みタスク**、または**systemd ユニット**
- Tomcat/webapp ディレクトリ内の予期しない**ウェブシェル**
- **新しいローカルユーザー**または**SSH authorized_keys**の変更
- **java** または **tomcat** プロセスが `/bin/sh`、`cmd.exe`、`powershell`、`bash` を起動
- Web アクセスログと相関する EIMS ホスト上のウイルス対策/EDR アラート

### アプリケーションログのパターン

- **見慣れない送信元 IP**からの `capture_handle.action` へのアクセス
- **高頻度**の同一リクエスト（スキャナの挙動）
- 不審な `captureCommand` 値の直後に、コマンドラッパーユーティリティでエラーが発生

### 脅威インテリジェンスフィード

以下を監視：

- CNVD-2024-17054 / CVE-2024-13985 のシグネチャ
- Nuclei テンプレートの一致（公開テンプレートが存在 — **許可された**スキャンに使用）
- Dahua EIMS の悪用試行をタグ付けする SIEM ルール

### 推奨される緊急クエリ（SIEM）```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)