CVE-2026-105284: критическая уязвимость обхода авторизации в Totolink A3002MU
В маршрутизаторе Totolink A3002MU (версия 1.0.0-B20230403.1455) обнаружена уязвимость неправильной авторизации в функции sub_40FCFC бинарного файла /bin/boa. Атака возможна удалённо, эксплойт уже опубликован, а базовый балл CVSS составляет максимальные 10 из 10. Уязвимость затрагивает компонент проверки аутентификации и позволяет злоумышленнику обойти контроль доступа к устройству.
Подробности
Уязвимость классифицируется как improper authorization (неправильная авторизация) — недостаток, при котором устройство неверно проверяет права пользователя перед выполнением защищённых операций. Поражённая версия — Totolink A3002MU 1.0.0-B20230403.1455. Атака может быть проведена удалённо, что существенно расширяет поверхность поражения: потенциальный злоумышленник не нуждается в физическом доступе к маршрутизатору. Уязвимость получила базовый балл CVSS 10 (CRITICAL) — максимально возможная оценка, отражающая сочетание простоты эксплуатации, отсутствия требований к привилегиям и высокой критичности последствий. Эксплойт уже опубликован в открытых источниках, что делает его доступным широкому кругу атакующих, включая низкоквалифицированных злоумышленников, и повышает риск массовых атак на уязвимые устройства. Для эксплойта характерно отсутствие USER_INTERACTION и сетевой вектор атаки, что делает его удобным для автоматизированных сканирований и атак через интернет. Благодаря тому, что обход авторизации затрагивает веб-интерфейс управления маршрутизатором, злоумышленник потенциально может получить полный контроль над устройством, изменять его конфигурацию, перенаправлять трафик или использовать маршрутизатор в качестве точки опоры для дальнейших атак внутри сети.Что делать
На момент публикации информации об официальном патче от вендора в записи CVE не приводится. Рекомендуется в первую очередь проверить наличие обновлений прошивки на официальном сайте Totolink и установить их, если они доступны. До выпуска исправления следует применить следующие компенсирующие меры:- Ограничить доступ к веб-интерфейсу администрирования маршрутизатора: отключить управление со стороны WAN, запретить доступ из интернета;
- Разместить устройство за межсетевым экраном и сегментировать сеть так, чтобы маршрутизатор не был доступен из недоверенных сегментов;
- Отключить удалённое управление и функции, которые не используются;
- Вести мониторинг журналов устройства на предмет подозрительных административных действий;
- Если устройство не поддерживается производителем, рассмотреть его замену на модель с актуальной поддержкой безопасности.
Источник: CVE Project (cvelistV5)