CERT Coordination Center (CERT/CC) đã công bố chi tiết về một lỗ hổng bảo mật chưa được vá ảnh hưởng đến bộ mở rộng sóng Wi-Fi TOTOLINK EX200, cho phép kẻ tấn công được xác thực từ xa giành quyền kiểm soát hoàn toàn thiết bị.
Lỗ hổng, CVE-2025-65606 (điểm CVSS: N/A), được mô tả là một lỗi trong logic xử lý lỗi khi tải lên firmware, có thể khiến thiết bị vô tình khởi động một dịch vụ telnet cấp quyền root không cần xác thực. CERT/CC ghi nhận Leandro Kogan đã phát hiện và báo cáo vấn đề này.
"Kẻ tấn công được xác thực có thể kích hoạt một điều kiện lỗi trong bộ xử lý tải lên firmware, khiến thiết bị khởi động một dịch vụ telnet cấp quyền root không cần xác thực, cấp quyền truy cập toàn bộ hệ thống," CERT/CC cho biết.
Việc khai thác thành công lỗ hổng này yêu cầu kẻ tấn công phải được xác thực trước vào giao diện quản lý web để truy cập chức năng tải lên firmware.
CERT/CC cho biết bộ xử lý tải lên firmware sẽ chuyển sang "trạng thái lỗi bất thường" khi một số tệp firmware bị lỗi được xử lý, khiến thiết bị khởi động dịch vụ telnet với quyền root và không yêu cầu bất kỳ xác thực nào.
Giao diện quản lý từ xa không mong muốn này có thể bị kẻ tấn công khai thác để chiếm quyền kiểm soát các thiết bị dễ bị tổn thương, dẫn đến thao túng cấu hình, thực thi lệnh tùy ý hoặc duy trì quyền truy cập.
Theo CERT/CC, TOTOLINK chưa phát hành bất kỳ bản vá nào để khắc phục lỗ hổng này và sản phẩm được cho là không còn được duy trì tích cực. Trang web của TOTOLINK dành cho EX200 cho thấy firmware của sản phẩm được cập nhật lần cuối vào tháng 2 năm 2023.
Trong trường hợp không có bản vá, người dùng thiết bị này được khuyến nghị hạn chế quyền truy cập quản trị vào các mạng đáng tin cậy, ngăn chặn người dùng trái phép truy cập giao diện quản lý, theo dõi các hoạt động bất thường và nâng cấp lên một kiểu máy được hỗ trợ.
