Totolink A3600R Parameter cstecgi.cgi setNoticeCfg コマンドインジェクション (command injection)

Totolink A3600Rルーター（バージョン4.1.2cu.5182_B20201102）に重大な脆弱性が検出されました。この脆弱性は、ファイル/cgi-bin/cstecgi.cgi内のsetNoticeCfg関数に存在します。攻撃者はNoticeUrl引数を操作して、デバイス上で任意のコマンドを挿入および実行できます。この脆弱性の深刻度はCVSS 6.3と評価されており、中程度から高のリスクを示しています。この脆弱性はリモートで悪用できるため、攻撃者はネットワークアクセスがある場所からこの脆弱性を悪用できます。特に懸念されるのは、このエクスプロイトが現在公開されており、攻撃のリスクが大幅に高まっていることです。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A3600R router are at significant risk. Shared hosting environments where multiple users share the same router infrastructure are particularly vulnerable, as a single compromised router can impact all hosted services. Users with legacy configurations or those who have not regularly updated their router firmware are also at increased risk.

• linux / server:

journalctl -u cstecgi | grep -i "NoticeUrl"

• generic web:

curl -s -X POST "http://<router_ip>/cgi-bin/cstecgi.cgi?NoticeUrl=<malicious_payload>" | grep -i "<malicious_payload>"

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-29
3. 更新日2026-04-01
4. EPSS 更新日2026-04-04

現在、Totolinkは、この脆弱性に対する修正プログラムをリリースしていません。最も迅速かつ効果的な軽減策は、利用可能な場合は、ルーターのファームウェアを最新バージョンに更新することです。更新プログラムが利用できない場合は、ルーターをパブリックネットワークから隔離し、ローカルネットワーク内の信頼できるデバイスへのアクセスのみを制限することをお勧めします。/cgi-bin/cstecgi.cgiファイルへの不正アクセスをブロックするために、厳格なファイアウォールルールを実装することを検討してください。ネットワークを監視して疑わしいアクティビティを検出し、Totolinkからの修正プログラムに関する公式発表に注意してください。公式のパッチがないため、この脆弱性は特に懸念されるため、迅速な対応が必要です。