Totolink A3300R パラメータ cstecgi.cgi setVpnPassCfg コマンドインジェクション

Totolink A3300R ルーターのバージョン 17.0.0cu.557_b20221024 (CVE-2026-5105) に、コマンドインジェクションの脆弱性が検出されました。この脆弱性は、ファイル /cgi-bin/cstecgi.cgi 内の setVpnPassCfg 関数、特に pptpPassThru パラメータに影響を与えます。攻撃者は、このパラメータを操作することでこの欠陥を利用し、デバイス上で任意のコマンドを実行できる可能性があります。この脆弱性の深刻度は、CVSS に従って 6.3 と評価されています。エクスプロイトの公開により、悪意のある攻撃者による悪用が容易になり、重大なリスクが生じます。コマンドインジェクションは、ルーターの制御奪取、機密情報の窃取、またはサービス拒否につながる可能性があります。

Organizations and individuals using the Totolink A3300R router with the affected firmware version are at risk. This includes small businesses, home users, and managed service providers who deploy this router in their networks. Shared hosting environments utilizing this router are particularly vulnerable due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u totolink_router -g "cstecgi.cgi"

• generic web:

curl -s -I 'http://<router_ip>/cgi-bin/cstecgi.cgi?pptpPassThru=<malicious_payload>' | grep 'HTTP/1.1 500' # Check for error responses indicating command execution

1. 2026-03-30Disclosure

   disclosure

1. 予約済み2026-03-29
2. 公開日2026-03-30
3. EPSS 更新日2026-04-06

現時点では、Totolink はこの脆弱性に対する修正プログラム (fix) を公開していません。最も効果的な即時対策は、この脆弱性を修正する最新のファームウェアにルーターをアップデートすることです。その間は、ルーターへのリモートアクセスを制限したり、デフォルトのパスワードを変更したり、ファイアウォールを有効にしたりするなど、追加のセキュリティ対策を講じることをお勧めします。ネットワークトラフィックを監視して不審な活動を検出することも、攻撃を防止するのに役立ちます。Totolink のセキュリティアップデート情報を常に確認し、利用可能な場合は修正プログラムを適用することをお勧めします。公式な修正プログラムがないため、積極的なセキュリティ体制を維持する必要があります。