Totolink

O CERT Coordination Center (CERT/CC) divulgou uma falha de segurança não corrigida que afeta o extensor de rede sem fio TOTOLINK EX200. A vulnerabilidade, identificada como CVE-2025-65606, permite que um atacante autenticado obtenha controle total do dispositivo. A falha está relacionada à lógica de tratamento de erros no upload de firmware, que pode levar à ativação de um serviço telnet com privilégios de root sem autenticação. Para explorar essa vulnerabilidade, o atacante precisa estar autenticado na interface de gerenciamento web do dispositivo. O CERT/CC alerta que a TOTOLINK não lançou patches para corrigir a falha e que o produto não está mais sendo mantido ativamente, com a última atualização de firmware ocorrendo em fevereiro de 2023. Em vista da falta de uma solução, os usuários são aconselhados a restringir o acesso administrativo a redes confiáveis e monitorar atividades anômalas.

Pesquisadores de segurança identificaram três vulnerabilidades críticas no firmware do roteador TOTOLINK X6000R, versão V9.4.0cu.1360_B20241207, lançado em 28 de março de 2025. Essas falhas permitem que atacantes não autenticados provoquem condições de negação de serviço, corrompam arquivos do sistema e executem comandos arbitrários no dispositivo. As vulnerabilidades são: CVE-2025-52905, que permite injeção de argumentos e negação de serviço; CVE-2025-52906, uma vulnerabilidade crítica de injeção de comandos que possibilita a execução remota de comandos; e CVE-2025-52907, que permite a corrupção de arquivos do sistema devido a uma lista de bloqueio incompleta. Todas as falhas estão relacionadas à interface web do roteador, especificamente no endpoint /cgi-bin/cstecgi.cgi, que não valida adequadamente as entradas. A TOTOLINK já lançou uma atualização de firmware para corrigir essas falhas e recomenda que todos os usuários atualizem imediatamente. Além disso, práticas de segurança adicionais, como a mudança de credenciais padrão e a segmentação de dispositivos IoT, são aconselhadas para mitigar riscos futuros.