Totolink A3300R cstecgi.cgi setUPnPCfg コマンドインジェクション

Totolink A3300R ルーターのバージョン 17.0.0cu.557_b20221024 (CVE-2026-5103) に、コマンドインジェクションの脆弱性が発見されました。この脆弱性は、ファイル /cgi-bin/cstecgi.cgi 内の setUPnPCfg 関数に存在します。enable 引数の悪意のある操作により、攻撃者はデバイス上で任意のコマンドを実行できます。この脆弱性の CVSS スコアは 6.3 で、中程度の深刻度レベルを示します。リモートでの悪用が可能であり、これは攻撃者が物理的なアクセスなしにルーターを侵害できることを意味します。エクスプロイトの公開により、標的型攻撃のリスクが大幅に高まります。悪用が成功すると、攻撃者にルーターの制御、内部ネットワークへのアクセス、および接続されたデバイスの潜在的な侵害を与える可能性があります。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A3300R router are at significant risk. Organizations with multiple Totolink A3300R routers deployed in their networks face a broader attack surface. Users with exposed routers or those lacking robust network security practices are particularly vulnerable.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• generic web:

curl -I 'http://<router_ip>/cgi-bin/cstecgi.cgi?enable=<suspicious_input>' | grep 'HTTP/1.1 500' # Check for error responses indicating command execution failure

1. 2026-03-30Disclosure

   disclosure

1. 予約済み2026-03-29
2. 公開日2026-03-30
3. EPSS 更新日2026-04-06

現在、Totolink はこの脆弱性に対する公式な修正を提供していません (KEV: いいえ)。最も効果的な軽減策は、ファームウェアのアップデートがリリースされるまで、このルーターの使用を避けることです。一時的な対策として、ルーターからの機密デバイスへのアクセスを制限するためにネットワークをセグメント化することをお勧めします。ルーターの構成で UPnP (Universal Plug and Play) を無効にすると、攻撃対象領域を減らすことができますが、一部のアプリケーションの機能に影響を与える可能性があります。疑わしいアクティビティを監視して、潜在的な攻撃を検出し、対応することもできます。ユーザーは、Totolink からのセキュリティに関するすべての発表に注意し、利用可能になったらファームウェアを更新することを強くお勧めします。