Totolink A7100RU CGI cstecgi.cgi setIptvCfg osコマンドインジェクション

Totolink A7100RU ルーターのバージョン 7.4cu.2313_b20191024 (CVE-2026-5852) に、重大な脆弱性が発見されました。この脆弱性は、CVSS スコア 9.8 で評価されており、ファイル '/cgi-bin/cstecgi.cgi' の 'setIptvCfg' 関数内の 'igmpVer' 引数を操作することで、オペレーティングシステムのコマンドインジェクションを可能にします。この脆弱性の重大性は、リモートで悪用できる点にあります。つまり、攻撃者は物理的なアクセスなしにルーター上で任意のコマンドを実行できます。エクスプロイトの公開により状況はさらに悪化し、悪意のある攻撃者による攻撃が容易になります。これにより、デバイスの完全な制御、機密情報の窃盗、またはサービス拒否につながる可能性があります。

Home and small business users relying on the Totolink A7100RU router are at significant risk. Networks with exposed routers or those lacking robust firewall configurations are particularly vulnerable. Shared hosting environments utilizing this router model also face increased risk, as a compromised router could potentially impact multiple tenants.

• linux / server:

journalctl -u cstecgi | grep -i "igmpVer"

• linux / server:

ps aux | grep cstecgi

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?igmpVer=<suspicious_input>

1. 2026-04-09Disclosure

   disclosure

1. 予約済み2026-04-08
2. 公開日2026-04-09
3. EPSS 更新日2026-04-16

現在、Totolink はこの脆弱性に対する公式な修正プログラムを提供していません。最も効果的な軽減策は、利用可能な場合は、ルーターのファームウェアを最新バージョンにすぐに更新することです。更新プログラムが利用できない場合は、ルーターをパブリックネットワークから分離し、ローカルネットワーク内の信頼できるデバイスへのアクセスのみを制限することをお勧めします。ファイル '/cgi-bin/cstecgi.cgi' へのアクセスを制限するための厳格なファイアウォールルールを実装することで、攻撃対象領域を減らすことができます。ルーターを疑わしいアクティビティに対して積極的に監視することが重要です。Totolink に直接連絡してセキュリティアップデートをリクエストし、脆弱性を報告することも推奨されます。