Totolink A3300R Parameter cstecgi.cgi setSmartQosCfg コマンドインジェクション

Totolink A3300R ルーターのバージョン 17.0.0cu.557b20221024 (CVE-2026-5102) に、コマンドインジェクションの脆弱性が発見されました。この脆弱性は、/cgi-bin/cstecgi.cgi ファイルの setSmartQosCfg 関数内に存在し、特に qosup_bw 引数の処理に関連しています。攻撃者は、この引数を操作することで、デバイス上で任意のコマンドを実行できます。この脆弱性の深刻度は CVSS に従って 6.3 と評価されており、中程度から高いリスクを示します。エクスプロイトが公開されているため、実際の攻撃のリスクが大幅に高まります。コマンドインジェクションにより、攻撃者はルーターを侵害したり、内部ネットワークにアクセスしたり、機密情報を盗んだり、デバイスを完全に制御したりする可能性があります。

Small and medium-sized businesses (SMBs) and home users relying on Totolink A3300R routers are at risk. Shared hosting environments where multiple users share the same router infrastructure are particularly vulnerable, as a compromised router could impact all hosted services. Users with legacy configurations or those who have not updated their router firmware regularly are also at increased risk.

• linux / server:

journalctl -u cstecgi -g "qos_up_bw" | grep -i "command injection"

• generic web:

curl -s 'http://<router_ip>/cgi-bin/cstecgi.cgi?qos_up_bw=;id;' | grep -i 'command injection'

1. 2026-03-30Disclosure

   disclosure

1. 予約済み2026-03-29
2. 公開日2026-03-30
3. EPSS 更新日2026-04-06

Totolink は現在、この脆弱性に対する修正プログラム（パッチ）をリリースしていません。最も効果的な軽減策は、脆弱性を修正した後のバージョンのファームウェアに更新することです。その間は、搾取のリスクを軽減するために、追加のセキュリティ対策を講じることをお勧めします。これには、ルーターのデフォルトパスワードを強力で一意のパスワードに変更し、ルーターの管理インターフェースへのリモートアクセスを無効にする（必要な場合を除く）、ルーターのファイアウォールを有効にしておくことが含まれます。ネットワークトラフィックを監視して疑わしいアクティビティを検出することも、潜在的な攻撃を検出して対応するのに役立ちます。今後のファームウェアアップデートについては、Totolink にお問い合わせください。