TOTOLINK A950RG: Command Injection im Device-Information-Handler
Zusammenfassung
Der Device-Information-Handler (getDeviceInfo) der TOTOLINK-A950RG-Firmware 4.1.2cu.5268_B20221104 erstellt Shell-Befehle aus einer MAC-Adresse, die aus der DHCP-Lease-Datei gelesen und gespeichert wird, ohne Validierung. Ein Angreifer, der einen manipulierten Wert in diese Dateien einschleusen kann, könnte Befehle als Root auf dem Router ausführen. Ein öffentlicher Proof of Concept existiert, eine korrigierte Firmware ist nicht bekannt, und die Quellen sind sich uneinig, ob der Angriff aus der Ferne erfolgt und ob Berechtigungen nötig sind.
Betroffen
- TOTOLINK A950RG, Firmware 4.1.2cu.5268_B20221104 (einzige Version in den gefundenen Quellen)
- Andere Firmware-Versionen: Unbekannt.
Behoben in
- Unbekannt. Es wurde weder eine korrigierte Firmware noch eine Herstellerwarnung gefunden.
Umgehung
- Keine Herstellermassnahme gefunden.
- Fernverwaltung und WAN-Verwaltung deaktivieren.
- Admin-Oberfläche des Routers nicht ins Internet exponieren.
- Admin-Zugriff auf vertrauenswürdige LAN-Adressen beschränken und das Gerät in einem separaten Netzsegment betreiben.
- Standard-Admin-Zugangsdaten ändern.
Ausnutzung
- Öffentlicher Proof of Concept: ja (VulDB gibt an, dass der Exploit öffentlich ist und verwendet werden könnte).
- In freier Wildbahn ausgenutzt: Unbekannt. In den geprüften Quellen nicht als aktiv ausgenutzt gelistet.
- CISA SSVC: Exploitation poc, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle A950RG-Geräte in der Umgebung ermitteln und die Firmware-Version prüfen.
- Internetzugriff auf die Admin-Oberfläche entfernen und das Gerät in einem eigenen Netzsegment isolieren.
- Geräteprotokolle auf unerwartete Änderungen prüfen.
- Die TOTOLINK-Download-Seite auf eine neuere Firmware für die eigene Hardware-Revision prüfen; nicht von einem vorhandenen Patch ausgehen.
- Falls keine unterstützte Firmware verfügbar wird, den Ersatz des Geräts planen.
- Exposition und Berechtigungsanforderungen im Labor überprüfen, da CVSS-Werte und CWE-Angaben zwischen den Quellen abweichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Exploit gist (H3rmesk1t) - Command injection write-up gist.github.com
- VulDB CVE-2026-116505 vuldb.com
- VulDB entry 426403 vuldb.com
- TOTOLINK website www.totolink.net
- Strix CVE-2026-116505 www.strix.ai
- hol.org CVE-2026-116505 hol.org
- threatint CVE-2026-116505 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.