Totolink A7100RU cstecgi.cgi setFirewallType osコマンドインジェクション

Totolink A7100RUルーター（バージョン7.4cu.2313_b20191024）において、コマンドインジェクションの脆弱性が発見されました。具体的には、ファイル/cgi-bin/cstecgi.cgi内のsetFirewallType関数において、firewallType引数を操作することで、攻撃者はリモートから任意のOSコマンドをデバイス上で実行できます。これにより、ネットワークセキュリティが侵害されたり、機密性の高い設定データにアクセスされたり、ネットワークトラフィックが傍受されたり、最悪の場合、ルーターの完全な制御を奪われたりする可能性があります。この脆弱性のCVSSスコアは7.3であり、高い深刻度レベルを示しています。エクスプロイトの公開により、悪用される可能性がさらに高まっています。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A7100RU router are at significant risk. Shared hosting environments where multiple users share the same router infrastructure are particularly vulnerable, as a compromise of one user's router could potentially impact others. Users with default router configurations or weak passwords are also at increased risk.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• generic web:

curl -s -X POST 'http://<router_ip>/cgi-bin/cstecgi.cgi?firewallType=;id;ls' | grep 'ls'

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-06
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

現時点では、Totolinkからこの脆弱性に対する公式な修正（パッチ）は公開されていません。最も効果的な対策は、アップデートがリリースされるまでこのルーターの使用を避けることです。一時的な対策として、ルーターを公共のインターネットから隔離し、管理インターフェースへのアクセスを制限してください。ネットワークトラフィックを定期的に監視し、不審な活動がないか確認してください。Totolinkのセキュリティアドバイザリに関する情報を常に把握し、利用可能なパッチがリリースされたらすぐに適用してください。定期的なセキュリティアップデートを受ける、より安全なモデルへのルーターの交換も検討してください。