Totolink A7100RU Pre-auth OS Command Injection in cstecgi.cgi

脆弱性情報の概要 1. 脆弱性の概要 本脆弱性は、Totolink A7100RU ルーターのWeb管理インターフェースに存在する事前認証OSコマンドインジェクション脆弱性（Pre-authentication OS command injection）です。 脆弱性の原理： インターフェースの 機能において、CGIプロセッサがHTTPパラメータ のユーザー制御入力を直接取得し、これをシェルコマンド文字列に直接組み込んで を使用して実行しています。この過程で、入力のエスケープ（escaping）やサニタイズ（sanitization）は一切行われません。 影響：リモート攻撃者は認証不要でこのインターフェースに対して任意のシェルコマンドをインジェクトでき、root権限で実行することができます。これにより、ルーターデバイスが完全に乗っ取られ、接続されているネットワーク全体もさらに侵害される可能性があります。 2. 影響範囲 デバイスモデル：Totolink A7100RU 影響を受けるファームウェアバージョン：7.4cu.2313_b20191024 影響を受けるコンポーネント：Web管理インターフェース ( ) の 機能。 3. 修正方針 画像には公式の修正パッチは直接記載されていません。記述に基づくと、修正方針としては 機能に対し、ユーザー入力の パラメータに対して厳格な検証、エスケープ、またはサニタイズを実施し、コマンドインジェクションを防ぐ必要があります。 4. PoC/利用コード 画像には直接コードブロックは示されていませんが、PoCの取得リンクが提供されています： Source (GitHub): VulDB Entry**:

目標達成 すべての支援者に感謝 — 100%達成しました！

Totolink A7100RU Pre-auth OS Command Injection in cstecgi.cgi

目標達成すべての支援者に感謝 — 100%達成しました！