Una falla de firmware sin parches expone a TOTO...

El Centro de Coordinación CERT (CERT/CC) ha revelado detalles de una falla de seguridad no corregida que afecta al extensor de alcance inalámbrico TOTOLINK EX200 y que podría permitir a un atacante autenticado de forma remota obtener el control total del dispositivo.

El defecto, CVE-2025-65606 (puntuación CVSS: N/A), se ha caracterizado por un defecto en la lógica de gestión de errores al cargar el firmware, que podría provocar que el dispositivo iniciara inadvertidamente un servicio telnet de nivel raíz no autenticado. El CERT/CC reconoció a Leandro Kogan el descubrimiento y la denuncia del problema.

«Un atacante autenticado puede provocar una condición de error en el controlador de carga del firmware que provoque que el dispositivo inicie un servicio telnet raíz no autenticado y otorgue acceso total al sistema», CERT/CC dijo .

La explotación exitosa de la falla requiere que el atacante ya esté autenticado en la interfaz de administración web para acceder a la funcionalidad de carga del firmware.

CERT/CC dijo que el controlador de carga del firmware entra en un «estado de error anormal» cuando se procesan ciertos archivos de firmware con formato incorrecto, lo que hace que el dispositivo inicie un servicio de telnet con privilegios de usuario root y sin necesidad de autenticación alguna.

El atacante podría aprovechar esta interfaz de administración remota no intencionada para secuestrar dispositivos vulnerables, lo que provocaría la manipulación de la configuración, la ejecución arbitraria de comandos o la persistencia.

Según CERT/CC, TOTOLINK no ha publicado ningún parche para corregir la falla y se dice que el producto ya no se mantiene activamente. La página web de TOTOLINK para la EX200 muestra que el firmware del producto era última actualización en febrero de 2023.

En ausencia de una solución, se recomienda a los usuarios del dispositivo que restrinjan el acceso administrativo a redes confiables, impidan que usuarios no autorizados accedan a la interfaz de administración, supervisen la actividad anómala y actualicen a un modelo compatible.