TOTOLINK EX200存在未修复固件漏洞可被完全远程接管

CERT协调中心(CERT/CC)披露了影响TOTOLINK EX200无线信号扩展器的未修复安全漏洞详情，该漏洞可能允许经过身份验证的远程攻击者完全控制设备。

该漏洞编号为CVE-2025-65606(CVSS评分：暂无)，被描述为固件上传错误处理逻辑中的缺陷，可能导致设备意外启动未经身份验证的root级telnet服务。CERT/CC将该问题的发现和报告归功于Leandro Kogan。

CERT/CC表示："经过身份验证的攻击者可以触发固件上传处理程序中的错误条件，导致设备启动未经身份验证的root telnet服务，从而获得完整的系统访问权限。"

成功利用该漏洞需要攻击者已经通过Web管理界面的身份验证来访问固件上传功能。

CERT/CC称，当处理某些格式错误的固件文件时，固件上传处理程序会进入"异常错误状态"，导致设备启动具有root权限且无需任何身份验证的telnet服务。

攻击者可以利用这个意外的远程管理界面劫持易受攻击的设备，进而操控配置、执行任意命令或保持持久访问。

据CERT/CC透露，TOTOLINK尚未发布任何补丁来解决该漏洞，该产品据说不再得到积极维护。TOTOLINK的EX200产品网页显示，该产品的固件最后更新时间为2023年2月。

在没有修复程序的情况下，建议设备用户限制对可信网络的管理访问权限，防止未经授权的用户访问管理界面，监控异常活动，并升级到受支持的型号。

Q&A

Q1：CVE-2025-65606漏洞是如何工作的？

A：该漏洞存在于TOTOLINK EX200的固件上传错误处理逻辑中。当攻击者上传格式错误的固件文件时，会导致固件上传处理程序进入异常错误状态，从而意外启动一个具有root权限且无需身份验证的telnet服务，给攻击者提供完整的系统访问权限。

Q2：TOTOLINK EX200用户该如何防护这个漏洞？

A：由于TOTOLINK尚未发布补丁且产品不再维护，用户应该采取以下防护措施：限制管理访问仅对可信网络开放，防止未授权用户访问管理界面，持续监控设备的异常活动，并考虑升级到仍受支持的设备型号。

Q3：利用CVE-2025-65606漏洞需要什么条件？

A：攻击者需要首先通过Web管理界面的身份验证才能访问固件上传功能。虽然需要初始认证，但一旦触发漏洞，攻击者就能获得无需认证的root级别访问权限，实现对设备的完全控制。