D-Link DIR-505 1.10B02 の tftpd にスタックバッファオーバーフロー、公開済みの PoC あり（CVE-2026-120189）: 修正は未確認、CVSS v3.1 10.0（VulDB）

NVD は 2026-11-01（01:17 UTC）に、D-Link DIR-505 のファームウェア 1.10B02 に関する CVE-2026-120189 を登録しました。説明によれば、/usr/bin/tftpd の TFTP アップロード用ファイル名処理（save_upload_file / mp_upload_file 関数）にスタックベースのバッファオーバーフローがあり、リモートから攻撃できるとされています。NVD の説明には「エクスプロイトが公開されており、使われるおそれがある」とも書かれています。登録元（CNA）は VulDB で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

何が起きるか

• 対象は D-Link DIR-505 のファームウェア 1.10B02 の /usr/bin/tftpd（コンポーネント名は「TFTP Upload Filename Handler」）です（CNA の記載）。
• アップロードされるファイル名の扱いに問題があり、スタック上のバッファがあふれる、という説明です。弱点の分類は CWE-119 と CWE-121 です。
• CVSS v3.1 は 10.0（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）、CVSS v4.0 は 9.3（Critical）、CVSS v2 は 10.0 で、いずれも VulDB（CNA）が付与した値です。NVD 自身の評価はまだありません。
• 認証は不要で、利用者の操作も要らないとされています。ただし、tftpd がどのインターフェースで待ち受けているか、初期設定で有効かは、記載がなく未確認です。
• CVSS v4.0 の悪用成熟度は「PoC あり（E:P）」です。参照先として、第三者の公開リポジトリ（PoC を載せたもの）が NVD に載っています。当サイトでは中身を開いておらず、再現もしていません。
• 実際の攻撃での悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。

影響を受ける条件と評価

項目	内容
対象	D-Link DIR-505 ファームウェア 1.10B02（CNA の記載。ほかの版は未確認）
前提	tftpd に攻撃者からネットワーク経由で到達できること（待ち受けの条件は未確認）
CVSS	v3.1 は 10.0（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）、v4.0 は 9.3。いずれも VulDB（CNA）の値
状態	NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施）
EPSS	公開直後のため未算出（FIRST に該当データなし、2026-11-01 時点）
修正	修正版・回避策の記載は NVD に見当たらない。ベンダーの勧告は取得できず未確認

対応として考えられること（本記事の推定）

1. DIR-505 を使っている場合は、ファームウェアの版を確認します。1.10B02 であれば、本件の対象です。
2. D-Link の公式サイトで、DIR-505 の修正版や、サポート終了の案内がないかを確かめます。本記事では、ベンダーの勧告もサポート状況も確認できていません。
3. 修正が見つからない場合は、本体をインターネットに直接さらさない（WAN 側の管理・サービスを無効にする）、信頼できない端末を接続させない、といった到達範囲の制限をします。tftpd を止める手段があるかは未確認です。
4. 影響を軽くできない場合は、後継の機器への置き換えを検討します。
5. 機器に見慣れない設定変更や再起動、外向きの通信がないか確認します。確認の具体的な指標は公開されておらず、未確認です。

未確認の点

• ベンダーの勧告、修正版の有無、DIR-505 のサポート状況は、確認できていません（D-Link の公式サイトは本稿の取得時点で応答がありませんでした）。
• 攻撃で何が実行できるか（コード実行に至るのか、機器の停止にとどまるのか）は、CVSS の値から読めるだけで、検証していません。
• 公開された PoC の中身、tftpd の待ち受け条件、ほかの版への影響は確認していません。
• 悪用の報告は確認できていません。KEV にも載っていません。
• CVSS は VulDB の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、認証不要・ネットワーク経由で PoC が公開済みである点から critical にしました。
• 当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
• 日付は NVD の登録（2026-11-01 01:17 UTC）に基づきます。