В прошивке V9.4.0cu.1360_B20241207 роутера TOTOLINK X6000R, выпущенной 28 марта 2025 года, обнаружены три критические уязвимости, позволяющие осуществлять удаленное выполнение кода без аутентификации. Проблемы затрагивают механизмы проверки вводимых данных и контроля доступа, что создает серьезные риски для безопасности домашних и корпоративных сетей.
Детали уязвимостей
Исследователи кибербезопасности выявили три уязвимости с различными векторами атак - от внедрения аргументов и инъекций команд до обхода механизмов защиты. Наиболее опасная из них, CVE-2025-52906, получила рейтинг критической с оценкой CVSS 9.3 баллов. Она позволяет неаутентифицированным злоумышленникам выполнять произвольные команды на устройстве с повышенными привилегиями.
Уязвимость CVE-2025-52905, оцененная в 7.0 баллов, представляет собой недостаточную проверку вводимых данных в центральной веб-точке доступа /cgi-bin/cstecgi.cgi. Функция валидации блокирует опасные символы, но пропускает дефис, что позволяет обходить фильтрацию и внедрять вредоносные аргументы в системные вызовы. Это может привести к аварийному завершению работы роутера или перенаправлению операций на внешние серверы. Для эксплуатации уязвимости достаточно лишь сетевого доступа к веб-интерфейсу устройства, что делает массовое сканирование и автоматизированные атаки тривиальной задачей для киберпреступников.
Критическая уязвимость CVE-2025-52906 обнаружена в функции setEasyMeshAgentCfg, которая отвечает за настройки mesh-агента. Параметр agentName не проходит надлежащую санацию, что позволяет злоумышленникам вставлять команды оболочки. При выполнении веб-сервером эти команды запускаются с повышенными привилегиями, что открывает возможности для установки постоянного вредоносного программного обеспечения, перехвата сетевого трафика или атак на другие устройства в сети пользователя. Данная уязвимость демонстрирует серьезные недостатки в системе проверки вводимых данных и контроля аутентификации.
Третья уязвимость, CVE-2025-52907, с оценкой 7.3 балла, использует аналогичную flawed логику санации в функции setWizardCfg. Обходя блокировку определенных символов, злоумышленники могут осуществлять произвольную запись файлов. Это позволяет модифицировать критические системные файлы, включая /etc/passwd для добавления новых учетных записей, а также изменять загрузочные скрипты для гарантированного выполнения кода при перезапуске устройства. Данная уязвимость может использоваться в цепочке эксплойтов для установления постоянного контроля над роутером, что полностью подрывает периметр сетевой безопасности.
Домашние роутеры представляют собой шлюз ко всем подключенным устройствам, и обнаруженные уязвимости подчеркивают необходимость тщательной проверки вводимых данных в прошивках интернета вещей, о чем ранее сообщали специалисты Palo Alto Networks. Проблемы в устройствах такого типа особенно опасны, поскольку они часто остаются без обновлений в течение длительного времени и служат точкой входа в домашние или корпоративные сети.
Пользователям роутера TOTOLINK X6000R настоятельно рекомендуется немедленно обновить прошивку до версии V9.4.0cu.1498_B20250826, где все выявленные уязвимости устранены. Производитель выпустил исправленную версию прошивки, которая должна быть установлена через веб-интерфейс устройства в разделе обновлений.
Специалисты по кибербезопасности напоминают, что поддержание актуальных версий прошивки и robust мониторинг сетевой активности остаются essential мерами защиты от постоянно развивающихся угроз в сфере интернета вещей. Регулярная проверка наличия обновлений и их своевременная установка должны стать стандартной практикой для всех владельцев сетевого оборудования, особенно для устройств, выполняющих шлюзовые функции.
Ссылки
- https://nvd.nist.gov/vuln/detail/CVE-2025-52905
- https://nvd.nist.gov/vuln/detail/CVE-2025-52906
- https://nvd.nist.gov/vuln/detail/CVE-2025-52907
