Totolinkレンジエクステンダーの脆弱性によりデバイス乗っ取りが可能に

廃止されたTotolink EX200無線レンジエクステンダーに存在するセキュリティ欠陥により、攻撃者が脆弱なデバイスを乗っ取れる可能性があると、CERT Coordination Center（CERT/CC）が警告している。

CVE-2025-65606として追跡されているこの脆弱性は、ネットワークエクステンダーのファームウェアアップロードにおけるエラー処理ロジックに影響する。

不正に形成されたファームウェアファイルを処理する際、ファームウェアアップロードのハンドラが異常なエラー状態に入り、その結果Telnetサービスが起動する。

CERT/CCによると、このサービスはroot権限で動作し、認証を必要としないため、システムへの完全なアクセスを提供してしまう。

「telnetインターフェースは通常無効化されており、公開されることを意図していないため、この挙動は意図しないリモート管理インターフェースを生み出す」と、CERT/CCのアドバイザリには記されている。

ただし、この脆弱性の悪用に成功するには、ファームウェアアップロード機能でエラーを発生させるために、デバイスのWeb管理インターフェースへの認証済みアクセスが必要となる。

「いったんエラー条件が引き起こされると、その結果として認証不要のtelnetサービスが提供され、デバイスを完全に制御できるようになる」とCERT/CCは述べている。

このバグを引き起こせる攻撃者はデバイスを完全に制御でき、設定の変更や任意コマンドの実行が可能となり、ローカルネットワークへの侵入に利用され得る。

脆弱なTotolink EX200エクステンダーはすでに保守されておらず、最後のファームウェア更新は2021年および2023年（それぞれハードウェアリビジョン1と2向け）にリリースされた。

Leandro Koganによって報告された今回新たに公開されたセキュリティ欠陥に対するパッチは提供されていない。

「ユーザーは管理者アクセスを信頼できるネットワークに制限し、信頼できないユーザーが管理インターフェースにアクセスできないようにし、予期しないtelnet活動を監視し、脆弱なデバイスの置き換えを計画すべきだ」とCERT/CCは指摘している。