Totolink A7100RU CGI cstecgi.cgi setLoginPasswordCfg OS コマンドインジェクション

Totolink A7100RU ルーターのバージョン 7.4cu.2313_b20191024 (CVE-2026-5997) に重大な脆弱性が検出されました。この脆弱性は、CVSS スコア 9.8 で、ファイル '/cgi-bin/cstecgi.cgi' の 'setLoginPasswordCfg' 関数内の 'admpass' 引数の操作によって、オペレーティングシステムのコマンドインジェクションを可能にします。影響を受けるコンポーネントは CGI ハンドラーです。この脆弱性の重大性は、リモートで悪用できることにあります。これにより、攻撃者は接続されているネットワークを潜在的に侵害して、ルーター上で任意のコマンドを実行できます。エクスプロイトの公開により状況が悪化し、悪意のある攻撃者が使用しやすくなります。このリスクを軽減するために、直ちに措置を講じることを強くお勧めします。

Home and small business users relying on the Totolink A7100RU router are at significant risk. Shared hosting environments utilizing this router as part of their infrastructure are also vulnerable. Users with legacy configurations or those who have not updated their router firmware regularly are particularly susceptible.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• linux / server:

ps aux | grep cstecgi | grep -i 'admpass='

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?admpass=;id

1. 2026-04-10Disclosure

   disclosure

2. 2026-04-10PoC

   poc

3. 2026-04-10CISA KEV

   kev

1. 予約済み2026-04-09
2. 公開日2026-04-10
3. EPSS 更新日2026-04-17

Totolink はまだこの脆弱性に対する修正を提供していません。最も効果的な即時の軽減策は、ファームウェアのアップデートがリリースされるまでルーターをインターネットから切断することです。それが不可能な場合は、管理者パスワードを強力で一意のパスワードに変更することをお勧めしますが、これによりリスクが完全に排除されるわけではありません。ルーターを不審なアクティビティがないか監視することが重要です。ユーザーは、Totolink からのこの脆弱性を修正するファームウェアアップデートに関する発表に注意を払うようにアドバイスされています。ファームウェアのアップデートは定義的な解決策であり、利用可能になったら適用する必要があります。潜在的な侵入の影響を制限するために、ネットワークをセグメント化することを検討してください。