本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.9 急ぎ度: 早めに

TOTOLINK CA300-PoEに脆弱性、攻撃コードが公開

TOTOLINKのCA300-PoEの6.2c.884で、設定用CGIにバッファオーバーフローがあり、攻撃コードが公開されています。該当機器を使う組織は管理画面を外部から届かない状態にし、修正版の有無をベンダーの告知で確かめてください。

CVE-2026-123957 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 9 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3が9.9、v4が9.4と高く、攻撃コードが公開済みで、修正版も確認できていないためです。

関係があるか

TOTOLINKのCA300-PoEをファームウェア6.2c.884で運用している組織が対象です。管理画面がインターネット側や広いネットワークから届く環境では、特に優先度が上がります。

製品影響を受ける版修正版
TOTOLINK CA300-PoE 6.2c.884 修正版は未確認です。ベンダーの告知で確かめてください

確かめ方

  1. 1資産台帳やネットワーク図で、CA300-PoEが社内や拠点にないかを洗い出します。
  2. 2該当機器の管理画面にログインし、ファームウェアの版が6.2c.884かどうかを確認します。
  3. 3管理画面にどのネットワークから接続できるかを確認します。インターネット側や、利用者の端末が多いセグメントから届く場合は、対応の優先度を上げてください。
  4. 46.2c.884以外の版が影響を受けるかは記載がないため、版が違う機器もベンダーの告知で確認します。

何が起きたか

TOTOLINKのCA300-PoEに、設定を受け付けるCGIのバッファオーバーフローが見つかりました。悪用されると、機器の設定の読み取りや書き換え、機器の停止につながるおそれがあります。CVSSでは機密性・完全性・可用性のいずれも「高」とされ、機器の外側まで影響が及ぶ評価も付いています。

問題があるのは、/cgi-bin/cstecgi.cgiのsetIpQosRulesという処理です。ipStartという入力値の長さを十分に確認しないまま扱うため、想定を超える値でメモリ上の領域があふれます。分類はCWE-120とCWE-119の2つです。

本件は2026年11月7日に公表されました。攻撃の手順をまとめた資料が公開されており、攻撃に使われる状態にあります。

攻撃の流れ

  1. 1

    機器へ到達

    ネットワーク経由で、CA300-PoEの管理用Webインターフェースに接続します。

  2. 2

    低い権限で要求

    低い権限で、QoSルールを設定する処理に細工した要求を送ります。

  3. 3

    領域があふれる

    ipStartの値が想定より長く、機器内部のメモリ領域があふれます。

  4. 4

    機器への影響

    設定の漏えいや改ざん、機器の停止などが起こりえます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ネットワーク経由で攻撃でき、複雑な条件はなく、利用者の操作も要りません。CVSSのベクターでは、低い権限が必要とされています。つまり、管理画面に接続できて、何らかのログイン権限を持つ相手が主な攻撃者です。

悪用されると、機器上の情報の漏えい、設定の改ざん、機器の停止が起こりえます。機器の外側のネットワークにも影響が及ぶ評価のため、機器が社内ネットワークの出入口や中継点にある場合は、被害が広がる前提で考えてください。

今すぐやること

  1. 1

    該当機器を洗い出す

    CA300-PoEの設置場所と台数、ファームウェアの版を一覧にします。6.2c.884の機器を最優先で扱います。

  2. 2

    管理画面を外部から届かなくする

    インターネット側からの管理画面へのアクセスを止めます。社内でも、管理用の端末や専用セグメントだけに絞ります。

  3. 3

    ベンダーの告知で修正版を確認する

    TOTOLINKの公式サイトやサポートの案内で、この脆弱性への修正版や回避策が出ていないかを確かめます。修正版が出たら、検証してから速やかに適用します。

  4. 4

    ログイン情報を見直す

    管理アカウントの初期パスワードや使い回しを改め、使っていないアカウントは削除します。低い権限で攻撃が成立する評価なので、ログインできる人を減らす意味があります。

  5. 5

    機器の状態を点検する

    設定が身に覚えのない内容に変わっていないか、想定外の再起動や停止が起きていないかを確認します。公開済みの攻撃コードがあるため、異常があれば機器を外して調べてください。

修正版がないあいだのつなぎ

修正版を当てられないあいだは、管理画面へのアクセスを特定の管理用端末のIPアドレスだけに限定します。WAN側からの管理機能が有効なら無効にします。外部からの到達を止められない場合は、修正版が出るまで機器を切り離すか、別の機器に置き換えることも検討してください。

背景

TOTOLINKは公式サイトで、家庭やオフィス向けのルーター、中継器、PoE対応スイッチなどを案内しています。こうした機器は設定を管理画面から変えるため、CGIが設定の入力を受け付けます。cstecgi.cgiは、TOTOLINKの機器でその受け口になっているファイルで、同じファイルを狙った脆弱性がこれまでも複数の機種で報告されてきました。

今回のsetIpQosRulesは、通信の優先度を決めるQoSルールの設定処理です。設定項目ごとに入力を受ける処理が分かれているため、1つの項目で長さの確認が抜けると、それだけで脆弱性になります。機器のファームウェアは管理者が意識して更新しないと古い版のまま残りやすく、公開済みの攻撃コードが使われやすい環境です。

よくある質問

Q.社内LANだけで使っている機器でも対応が必要ですか。
A.必要です。インターネットから直接届かなくても、社内の端末が侵害されれば管理画面に到達できます。アクセス元を管理用端末に絞り、ファームウェアの版を確認してください。
Q.低い権限が必要なら、急がなくてよいのでしょうか。
A.そうとは限りません。初期パスワードのままの機器や、複数人で共有している管理アカウントがあると、権限の条件は障壁になりません。まずログイン情報を見直してください。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

A vulnerability was determined in TOTOLINK CA300-PoE 6.2c.884. Impacted is the function setIpQosRules of the file /cgi-bin/cstecgi.cgi. This manipulation of the argument ipStart causes buffer overflow. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく