概要
Totolink A8000RU ルーターにおいて、CGI ハンドラー /cgi-bin/cstecgi.cgi の setVpnPassCfg 関数に OS コマンドインジェクションの脆弱性が発見されました。攻撃者は pptpPassThru 引数を操作することで、認証なしにリモートから任意の OS コマンドを実行することが可能です。IoT デバイスの特性上、ファームウェアの自動更新が行われないケースが多く、インターネットに直接接続されている場合は重大なリスクとなります。
Totolink 製ルーターでは過去にも複数のコマンドインジェクション脆弱性が報告されており、IoT デバイスのファームウェアセキュリティにおける課題が浮き彫りになっています。攻撃手法に関する詳細情報が公開されているため、攻撃のハードルは低い状態です。該当デバイスを使用している場合は、WAN 側からの管理インターフェースへのアクセスを無効にし、可能であればファームウェアの更新を確認してください。VPN設定に関連する機能への攻撃であるため、リモートアクセス環境全体に影響が及ぶ恐れがあり、特に注意が必要です。
CVSS ベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 (Critical) |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | なし |
| ユーザ関与 | なし |
| CWE | CWE-77 (コマンドインジェクション), CWE-78 (OS コマンドインジェクション) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| A8000RU | Totolink | 7.1cu.643_b20200521 |
修正バージョンと回避策
- 修正: ベンダーからのファームウェアアップデートの提供状況を確認してください
- 回避策: ルーターの管理インターフェースへの外部アクセスを制限し、WAN 側からの CGI エンドポイントへのアクセスをブロックしてください
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。