TOTOLINK A950RG: Command Injection in UploadCustomModule

Zusammenfassung

Eine Schwachstelle in der Funktion UploadCustomModule der Datei lib/cste_modules/product.so des Routers TOTOLINK A950RG erlaubt Command Injection über das Argument FileMd5. Der Angriff kann über das Netzwerk aus der Ferne ausgeführt werden. Ein öffentlicher Proof-of-Concept-Exploit wurde veröffentlicht, und VulDB meldet, dass der Exploit verwendet werden kann. Das Management-Interface des Routers darf daher nicht aus dem Internet erreichbar sein.

Betroffen

• TOTOLINK A950RG, Firmware 4.1.2cu.5268_B20221104
• Andere Firmware-Versionen: Unbekannt.

Behoben in

Unbekannt. Es wurde weder eine Herstellerwarnung noch eine gepatchte Firmware gefunden.

Umgehung

• Es ist kein Workaround des Herstellers bekannt.
• Deaktivieren Sie das Remote-Management (WAN) und beschränken Sie den Zugriff auf das Web-Admin-Interface auf vertrauenswürdige LAN-Hosts.
• Blockieren Sie eingehende Verbindungen zu den Management-Ports des Geräts an der Firewall.

Ausnutzung

• Öffentlicher Proof-of-Concept-Exploit: ja (VulDB: Exploit-Status Proof-of-Concept, Zugriff öffentlich; CISA SSVC: Exploitation poc, Automatable yes).
• Aktive Ausnutzung in freier Wildbahn (Known Exploited): keine Hinweise gefunden; in den geprüften Quellen nicht als aktiv ausgenutzt gelistet.

Unsere Empfehlung

• Erfassen Sie alle TOTOLINK-A950RG-Geräte und prüfen Sie, ob deren Management-Interface aus dem Internet erreichbar ist.
• Schränken Sie das Remote-Management ein oder deaktivieren Sie es und isolieren Sie das Gerät sofort von nicht vertrauenswürdigen Netzen.
• Prüfen Sie die Support-Seite von TOTOLINK auf eine korrigierte Firmware-Version und spielen Sie diese ein, falls verfügbar.
• Wenn kein unterstützter Fix existiert, ersetzen Sie das Gerät.
• Überwachen Sie den Router auf unerwartete Konfigurationsänderungen oder ausgehende Verbindungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Proof-of-concept write-up (GitHub Gist) gist.github.com
• VulDB entry VDB-424943 vuldb.com
• VulDB CVE entry vuldb.com
• VulDB CTI entry vuldb.com
• TOTOLINK website www.totolink.net
• CVE mirror (Strix) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:56.