TOTOLINK A950RG: Command Injection in der Cloud-Firmware-Aktualisierung
Zusammenfassung
Die Cloud-Firmware-Aktualisierungsfunktion (setCloudUpgradeFW in lib/cste_modules/upgrade.so) des TOTOLINK A950RG Routers neutralisiert den Parameter FileName nicht korrekt. Ein Angreifer kann Betriebssystembefehle einschleusen, die auf dem Gerät als Root ausgeführt werden. Gemäss CVE-Eintrag beträgt der CVSS-v4.0-Basiswert 8.6 (High). Öffentlicher Proof-of-Concept-Code existiert. Ob der verwundbare Pfad ohne Authentifizierung erreichbar ist, ist nicht verifiziert.
Betroffen
- TOTOLINK A950RG Firmware 4.1.2cu.5268_B20221104
- Andere Firmware-Builds: Unbekannt
Behoben in
Unbekannt. Es wurde weder eine Sicherheitsmitteilung noch eine gepatchte Firmware des Herstellers gefunden.
Umgehung
- Vom Hersteller bestätigte Workaround ist nicht verfügbar.
- Fernverwaltung deaktivieren und die Verwaltungsschnittstelle vom WAN trennen.
- Administrativen Zugriff auf ein Management-VLAN oder bestimmte IP-Adressen beschränken.
Ausnutzung
- Öffentlich verfügbarer Proof-of-Concept-Exploit (VulDB: Proof-of-Concept).
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn verzeichnet.
- In den geprüften Quellen nicht als aktiv ausgenutzt gelistet; der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Die Firmware-Version auf jedem A950RG Gerät bestätigen.
- Die Verwaltungsschnittstelle umgehend aus dem Internet entfernen und die Fernverwaltung deaktivieren.
- Administrativen Zugriff auf vertrauenswürdige Hosts beschränken.
- Den Router auf unerwartete ausgehende Verbindungen überwachen.
- Beim Hersteller nach einer korrigierten Firmware suchen. Falls keine veröffentlicht wird, einen Ersatz durch ein unterstütztes Modell planen.
- Die verwandten Einträge CVE-2026-116505 und CVE-2026-116506 zusammen mit diesem Eintrag prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-116504 VulDB vuldb.com
- VulDB vulnerability 426402 vuldb.com
- Exploit gist (H3rmesk1t) gist.github.com
- OffSeq Radar CVE-2026-116504 radar.offseq.com
- HOL Guard CVE-2026-116504 hol.org
- Strix CVE-2026-116504 www.strix.ai
- OpenCVE CVE-2026-116504 app.opencve.io
- TOTOLINK website www.totolink.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.