本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 10.0 急ぎ度: 早めに

TOTOLINK A950RGに脆弱性、攻撃コード公開で修正版は未確認

TOTOLINKのルーターA950RGに、ネットワーク越しに機器を乗っ取られるおそれのある脆弱性が見つかり、攻撃コードも公開されています。拠点や店舗、在宅勤務でこの機種を使っている組織は、まず台数と版を洗い出してください。修正版の案内は確認できていないため、管理画面の公開範囲を絞る対策を先に進めます。

CVE-2026-116508 公開 生成 AI で作成
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSSがv3・v4とも10で、認証なしにネットワークから悪用でき、攻撃コードが公開されている一方、修正版の案内が確認できないためです。

関係があるか

TOTOLINK A950RGを、拠点・店舗・小規模事務所・テレワーク用に使っている組織が対象です。管理画面がインターネット側から見える設定になっている機器は、特に優先して確認してください。

製品影響を受ける版直った版
TOTOLINK A950RG ファームウェア4.1.2cu.5268_B20221104 案内は確認できていません。ベンダーのサイトで確認してください

確かめ方

  1. 1資産台帳や機器のラベルで、型番がA950RGのルーターを洗い出します。拠点・店舗・在宅勤務の貸与機器も含めます。
  2. 2管理画面にログインし、ファームウェアの版が4.1.2cu.5268_B20221104かどうかを確認します。
  3. 3管理画面がインターネット側から開ける設定になっていないかを、機器の設定画面で確認します。外部からの到達確認は、自社が管理する機器にだけ行います。

何が起きたか

TOTOLINKのルーターA950RGに、外部から送られたデータによって機器のメモリが壊れる脆弱性があります。うまく突かれると、機器の制御を奪われるおそれがあります。

問題があるのは、ファームウェア4.1.2cu.5268_B20221104で機器情報を表示するCGI、infostat.cgiの中の関数sub_402340です。リクエストに含まれるCONTENT_LENGTHの値の扱いに不備があり、スタック上のバッファがあふれます。分類はCWE-121とCWE-119です。

公開日は2026年10月26日で、CVSS v3もv4も10です。脆弱性を報告した側のページには、攻撃コードへのリンクが載っています。

攻撃の流れ

  1. 1

    機器へ到達

    ルーターの管理用Web機能に、ネットワーク経由で接続できる位置から接続します。

  2. 2

    細工した要求

    機器情報を返すCGIに対し、長さの値を不正にしたリクエストを送ります。

  3. 3

    メモリ破壊

    入力の検査が足りず、スタック上のバッファがあふれます。

  4. 4

    機器の乗っ取り

    機器の動作を奪われ、通信や設定、内部ネットワークに影響が及ぶおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

CVSSのベクトルでは、ログインは不要で、機器の利用者による操作も要りません。ネットワーク経由で、特別な条件なしに攻撃できると評価されています。攻撃する側は、機器の管理用Web機能に到達できる位置にいる必要があります。管理画面がインターネットに公開されていれば外部から、公開されていなくても、LAN内にいる端末からは到達できるでしょう。

成功した場合、機密性・完全性・可用性のいずれも大きく損なわれる評価です。機器の停止、設定の書き換え、通信の盗み見、内部ネットワークへの足がかりとして使われることが考えられます。影響範囲がルーター単体にとどまらない評価（スコープ変更あり）である点にも注意が必要です。

今すぐやること

  1. 1

    A950RGの台数と版を洗い出す

    拠点や店舗、在宅勤務で貸与している機器まで含めて型番を調べ、版が4.1.2cu.5268_B20221104かどうかを管理画面で確認します。

  2. 2

    管理画面を外部に公開しない

    WAN側からの管理アクセスが有効なら無効にします。LAN側からの管理も、管理者の端末に限ると、攻撃できる位置を狭められます。

  3. 3

    ベンダーの告知を確認して更新する

    TOTOLINKのサイトで、この脆弱性に対する修正版が出ていないかを確認します。出ていれば、検証用の機器で動作を確かめてから順に更新します。

  4. 4

    修正版が出ない場合は交換を検討する

    修正版が出ない場合は、サポートが続いている別の機器への入れ替えを計画します。入れ替えまでの間は、2番目の対策を徹底します。

  5. 5

    設定の変化を点検する

    管理者アカウント、ポート開放、DNSなどの設定に、見覚えのない変更がないかを確認します。不審な点があれば、初期化と設定のやり直しを検討します。

すぐ更新できないとき

修正版が当てられない間は、管理画面へのアクセスを最小限にします。WAN側の管理機能は無効にし、LAN側からの管理も特定の端末に限ります。LAN内に信頼できない端末（来客用や私物の機器）がある場合は、ネットワークを分けておくと、攻撃の入口を減らせます。

背景

A950RGは、TOTOLINKが家庭や小規模事業所向けに出している無線ルーターです。拠点や店舗、在宅勤務の環境では、社内ネットワークとインターネットの境目に置かれ、すべての通信がここを通ります。専任の担当者がおらず、導入後に管理画面を開く機会が少ない機器でもあります。

今回の脆弱性が見つかったのは、機器情報を表示するCGIです。リクエストの長さを示す値の検査が足りないことで、スタックバッファオーバーフローが起きます。版の表記からは2022年11月のビルドと読め、公開の時点で4年近く前のファームウェアです。更新されないまま使われ続けている機器があれば、影響は長く残るでしょう。

よくある質問

Q.社員が自宅でA950RGを使っている場合、会社の対応範囲に入りますか。
A.業務用の端末がその回線から社内システムに接続しているなら、周知の対象にするのが無難です。管理画面の外部公開をやめること、修正版の案内を確認することの2点を伝えれば、まず足ります。
Q.公開されている攻撃コードを、自社の機器で試して確認してもよいですか。
A.試すなら、自社が所有し、本番から切り離した検証用の機器に限ります。稼働中の機器では、機器が停止するおそれがあります。確認の目的であれば、版の確認と公開範囲の確認で足ります。

まだ分かっていないこと

  • TOTOLINKによる修正版や公式の告知の有無と時期は、まだ分かっていません。TOTOLINKのサイトで確認してください。
  • 4.1.2cu.5268_B20221104以外の版やほかの機種が影響を受けるかどうかは、分かっていません。
  • この脆弱性を使った実際の攻撃が確認されているかどうかは、分かっていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類パッケージ影響を受ける版直った版
TOTOLINK A950RG — —
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

A security flaw has been discovered in TOTOLINK A950RG 4.1.2cu.5268_B20221104. Affected by this issue is the function sub_402340 of the file infostat.cgi of the component Device-Information CGI. Performing a manipulation of the argument CONTENT_LENGTH results in stack-based buffer overflow. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく