Критическая уязвимость в маршрутизаторах TOTOLINK N300RH: удалённое выполнение кода без пароля

В Банк данных угроз безопасности информации (BDU) была внесена запись о критической уязвимости, затрагивающей популярные домашние маршрутизаторы TOTOLINK N300RH. Проблема получила идентификатор BDU:2026-06312, а также международный номер CVE-2026-7747. Речь идёт об ошибке в функции аутентификации, которая позволяет злоумышленнику удалённо получить полный контроль над устройством. При этом для атаки не требуется ни учётных данных, ни какого-либо доступа к локальной сети.

Детали уязвимости

Уязвимость кроется в сценарии cgi-bin/cstecgi.cgi, а точнее - в функции loginauth(). При обработке параметра password, передаваемого в POST-запросе, происходит выход операции за границы буфера в памяти. Иными словами, вредоносное сообщение может переполнить выделенную область оперативной памяти и записать произвольные данные в соседние ячейки. Это классическое переполнение буфера (CWE-119 и CWE-120), которое в данном случае позволяет нарушителю выполнить собственный код на устройстве.

Особую тревогу вызывает базовый вектор уязвимости по шкале CVSS 3.1 - он составляет 9,8 балла из десяти возможных. Это соответствует критическому уровню опасности. Вектор атаки - сетевой, сложность эксплуатации низкая, а для запуска атаки не требуется никакой аутентификации. То есть любой пользователь интернета, знающий IP-адрес уязвимого маршрутизатора, может отправить специально сформированный запрос и получить доступ к устройству. Более того, разработчики уже нашли в открытом доступе готовый эксплойт - программу, автоматизирующую взлом. Это означает, что атаки могут начаться в ближайшее время.

Чем это грозит владельцам маршрутизаторов TOTOLINK N300RH? Прежде всего, полной компрометацией устройства. Злоумышленник, получив контроль над маршрутизатором, может изменить его настройки, перенаправить трафик на фишинговые сайты, похитить данные, передаваемые по незащищённым протоколам, или включить устройство в ботнет для проведения крупных DDoS-атак. В худшем случае через маршрутизатор можно получить доступ ко всей домашней сети - к компьютерам, смартфонам, умным колонкам и камерам видеонаблюдения. Кроме того, атака может привести к отказу в обслуживании: устройство попросту зависнет или перестанет отвечать на запросы.

На момент публикации официальные обновления микропрограммного обеспечения (прошивки) от производителя пока не выпущены. В BDU указано, что статус устранения уязвимости уточняется. Это тревожный сигнал: многие бюджетные маршрутизаторы, особенно модели прошлых лет, не получают обновлений безопасности спустя несколько лет после выпуска. Модель N300RH была анонсирована достаточно давно, и вендор TOTOLink известен тем, что не всегда оперативно закрывает критические уязвимости.

Что делать владельцам таких устройств прямо сейчас? Эксперты по информационной безопасности рекомендуют принять следующие защитные меры. Прежде всего, необходимо максимально ограничить доступ к маршрутизатору из внешних сетей. Если у вас нет острой необходимости в удалённом управлении через интернет, следует отключить функцию удалённого администрирования (часто обозначается как Remote Management или Web Access from WAN). Также стоит использовать брандмауэр для фильтрации входящих соединений.

Кроме того, следует убедиться, что на устройстве установлен сложный пароль администратора. Слабая комбинация, вроде admin/admin, делает атаку ещё более простой, хотя в данном случае для эксплуатации уязвимости пароль не требуется. Сегментирование сети - ещё один важный шаг: если есть возможность, уязвимый маршрутизатор стоит изолировать от устройств, содержащих критичные данные. Подключение по виртуальной частной сети (VPN) для удалённого доступа существенно снижает риски.

Специалистам стоит настроить системы обнаружения и предотвращения вторжений (IDS/IPS), чтобы выявлять попытки эксплуатации уязвимости на ранней стадии. Хотя это решение больше подходит для корпоративных сетей, домашние пользователи могут установить современное антивирусное решение с функцией сетевого экрана.

Пока TOTOLink не выпустит официальное обновление, которое устранит проблему, единственным надёжным способом защиты остаётся замена устройства на более современную модель, которая всё ещё получает обновления безопасности. Важно помнить, что маршрутизатор - это шлюз в вашу домашнюю сеть, и его уязвимость может поставить под угрозу все подключённые устройства.

Ситуация с моделью N300RH - далеко не единичный случай. Подобные проблемы возникают у многих производителей бюджетного сетевого оборудования. Причина в том, что при разработке дешёвых устройств безопасности уделяется меньше внимания, а код часто использует старые библиотеки с известными ошибками. Для пользователей это означает одно: экономия на маршрутизаторе может обернуться серьёзными финансовыми потерями из-за кражи данных или остановки работы интернета.

Детали уязвимости

Ссылки