TOTOLINK A950RGにコマンドインジェクション、攻撃コード公開
TOTOLINKのルーターA950RGに、細工した値で機器上の任意のコマンドを実行されるおそれのある脆弱性が見つかり、攻撃コードも公開されています。小規模なオフィスや店舗、在宅環境でこの機種を使っている組織は、版の確認と管理画面の公開範囲の見直しを先に済ませてください。
急ぎ度: 早めに
CVSS v3は9.1、v4は9.4で、攻撃コードが公開されている一方、悪用には高い権限が必要とされ、修正版の案内も見当たらないため、更新待ちにせず設定面の対策を先に進めるべき段階です。
関係があるか
TOTOLINK A950RGを社内や店舗、拠点のルーターとして使っている組織が対象です。とくに、管理画面にインターネット側から届く設定にしている環境は優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| TOTOLINK A950RG | 4.1.2cu.5268_B20221104 | 修正版の情報なし |
確かめ方
- 1ルーターの管理画面にログインし、ファームウェアの版が4.1.2cu.5268_B20221104かどうかを確認します。
- 2本体のラベルや管理画面の製品情報で、型番がA950RGであることを確かめます。
- 3管理画面がWAN側（インターネット側）から開けるかどうかを、リモート管理の設定画面で確認します。
- 4資産台帳に載っていない設置済みの機器がないか、拠点や店舗にも聞いて洗い出します。
何が起きたか
TOTOLINKのルーターA950RGのファームウェア4.1.2cu.5268_B20221104に、コマンドインジェクションの脆弱性が見つかりました。細工された入力を使うと、機器の上で意図しないコマンドを実行させられるおそれがあります。
問題があるのは、端末情報を扱うデバイス情報の処理（getDeviceInfo）です。DHCPのリース情報を記録するファイル（/var/lib/misc/udhcpd.leases）を参照する流れの中で、MACアドレスの値の扱いが不適切で、値の一部がコマンドとして解釈されてしまいます。分類はCWE-77とCWE-74です。
概念実証とみられるコードがすでに公開されています。実際の攻撃で悪用された事例は、今回の情報からは確認できません。
攻撃の流れ
-
1
管理画面へ到達
攻撃者がネットワーク経由でルーターの管理機能に接続します。
-
2
高い権限で認証
必要とされる高い権限の認証を通過します。
-
3
MAC値を細工
デバイス情報の処理に渡るMACアドレスの値に、コマンドとして解釈される内容を混ぜます。
-
4
コマンド実行
ルーター上で意図しないコマンドが実行されます。
-
5
機器を掌握
設定の書き換えや通信への介入、内部ネットワークへの足がかりに使われるおそれがあります。
どう悪用されるか
ネットワーク経由で攻撃でき、利用者の操作は要りません。一方で、悪用には高い権限が必要とされています。管理者のパスワードが初期値のままだったり、使い回されていたり、別の経路で漏れていたりすると、この条件は現実的に満たされてしまいます。
悪用に成功すると、ルーター上で任意のコマンドが動き、機密性、完全性、可用性のすべてに高い影響が出ます。CVSSでは影響範囲が機器の外に及ぶ（スコープが変わる）と評価されています。
ルーターは社内外の通信がすべて通る機器です。DNS設定の書き換えや通信の覗き見、LAN内の端末への踏み台化といった二次被害も想定してください。
今すぐやること
-
1
対象機器を洗い出す
A950RGの設置場所と、ファームウェアが4.1.2cu.5268_B20221104かどうかを一覧にします。拠点や店舗に置かれた機器も含めます。
-
2
管理画面をインターネットに公開しない
WAN側からのリモート管理を無効にし、管理画面には社内の限られた端末からだけ入れるようにします。この脆弱性は管理者権限での認証が前提のため、到達経路を絞るだけでもリスクは大きく下がります。
-
3
管理者パスワードを見直す
初期値や使い回しのパスワードを、推測されにくい固有のものに変更します。あわせて、見覚えのない設定変更やDNS設定の書き換えがないかを点検します。
-
4
修正版が出たら更新する
TOTOLINKの公式サイトやダウンロードページで、A950RGのファームウェア更新を定期的に確認します。修正版が出たら適用し、版が上がったことを管理画面で確かめます。
-
5
代替機への入れ替えを検討する
修正版が出ない場合や、管理画面を外に開けざるを得ない用途の場合は、サポートが続いている機種への置き換えを計画します。
すぐ更新できないとき
修正版を当てられない間は、WAN側からの管理画面アクセスを無効にし、LAN側でも管理画面に入れる端末を限定します。管理者パスワードを固有の強いものに変え、ゲスト用や来客用の端末が管理画面へ届かないようにネットワークを分けてください。
背景
TOTOLINKは低価格の家庭向け・小規模事業者向けネットワーク機器を扱うメーカーで、A950RGのようなルーターは、小さな事務所や店舗でインターネットの出入口を一台で受け持つ使い方が多い機器です。社内の端末すべての通信がここを通るため、乗っ取られると、通信の中継先や名前解決の結果まで変えられてしまいます。
今回の問題は、DHCPで端末に割り当てたアドレスとMACアドレスを記録するリース情報の読み出しに関わる処理です。ルーターの管理機能が、端末側から届く値を内部のコマンドの一部として扱ってしまう型の脆弱性は、この種の機器で見つかりやすいものです。自動更新の仕組みを持たない機器が多く、修正版が出ても適用されないまま残りやすい点は、運用の面で注意が要ります。
よくある質問
Q.管理画面を外に公開していなければ、影響はありませんか。
Q.修正版が出なかった場合は、買い替えるべきですか。
まだ分かっていないこと
- 修正版の有無と提供時期はまだ分かっていません。TOTOLINKの公式サイトとVulDBの該当ページで最新の状況を確認してください。
- A950RG以外の機種や、ほかの版が影響を受けるかどうかは分かっていません。
- 実際の攻撃で悪用されているかどうかは確認されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| TOTOLINK | A950RG | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was found in TOTOLINK A950RG 4.1.2cu.5268_B20221104. This impacts the function getDeviceInfo of the file /var/lib/misc/udhcpd.leases of the component device-information Handler. The manipulation of the argument MAC address results in command injection. The attack can be launched remotely. The exploit has been made public and could be used.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- advisory CVE-2026-116505 | CVE Analysis and Report
- advisory Submit #1022554 | TOTOLINK A950RG V4.1.2cu.5268_B20221104 Command Injection
- exploit gist.github.com
- web VDB-426403 | TOTOLINK A950RG device-information udhcpd.leases getDeviceInfo command injection
- web VDB-426403 | CTI Indicators (IOB, IOC, TTP, IOA)
- web totolink.net