Totolink Range Extender の脆弱性 CVE-2025-65606：サポート終了デバイスに乗っ取りの危機

Vulnerability in Totolink Range Extender Allows Device Takeover

2026/01/07 SecurityWeek — 販売終了となった Totolink EX200 Wireless Range Extender にセキュリティ上の欠陥が存在し、攻撃者が脆弱なデバイスを乗っ取る可能性があると、CERT Coordination Center (CERT/CC) が警告している。この脆弱性 CVE-2025-65606 は、EX200 のファームウェア・アップロードにおけるエラー処理ロジックの欠陥に起因するものだ。

不正なファームウェア・ファイルを処理する際に、ファームウェア・アップロード・ハンドラーが異常なエラー状態に遷移し、Telnet サービスが起動する。

この Telnet サービスはルート権限で実行され、認証を必要としない。そのため、システムへのフルアクセスが可能になると CERT/CC は指摘している。

CERT/CC のアドバイザリには、「Telnet インターフェイスは、通常では無効化されており、公開は意図されていない。そのため、この挙動により、意図しないリモート管理インターフェイスが作成されてしまう」と記載されている。

ただし、この脆弱性を悪用する前提として、デバイスの Web 管理インターフェイスへの認証済みアクセスと、ファームウェア・アップロード機能のエラーのトリガー操作が必要となる。

CERT/CC は、「エラー状態が引き起こされると、その結果として生成される認証不要の Telnet サービスにより、デバイスの完全な制御にいたる恐れがある」と述べている。

このバグを誘発できる攻撃者であれば、デバイスの完全な制御が可能になる。その結果として、設定変更／任意のコマンド実行／ローカル・ネットワークへの侵入などの恐れが生じる。

脆弱性のある Totolink EX200 Wireless Range Extender は、現在ではメンテナンスが終了している。最後のファームウェア・アップデートは 2021 年および 2023 年に実施されており、ハードウェア・リビジョン 1／2 向けにリリースされている。

この新たに公開されたセキュリティ欠陥は Leandro Kogan により報告されたが、修正パッチは提供されていない。

CERT/CC は、「管理者アクセスを信頼できるネットワークに制限し、信頼できないユーザーが管理インターフェイスにアクセスできないようにする必要がある。それに加えて、予期しない Telnet アクティビティの監視と、脆弱なデバイスの交換が必要になる」と述べている。

Totolink EX200 Wireless Range Extender の問題は、ファームウェアのアップロード処理における、エラーへの対応ロジックにあります。本来であれば、送信された不正なファイルを単に拒絶すべきですが、この機器では処理の失敗がきっかけとなり、裏側で Telnet という遠隔操作用の機能が勝手に動き出してしまいます。さらに、その機能が管理者権限で動作し、パスワードなどの認証を一切求めない設定になっていたことが、事態を深刻にしました。意図しない形で、バックドアが作られてしまうような状態です。すでにサポートが終了していますので、ご利用のチームは、ご注意ください。