Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-121

CVE-2026-42022

Totolink X2000R formIpv6Setup yığın tabanlı arabellek taşması (uzaktan kod çalıştırma)

Totolink

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
7 gün
Kaydı açan
talos

Yönetici özeti

Bu zafiyet, ağ geçidi olarak kullanılan bir yönlendiricinin tamamen ele geçirilmesine olanak tanıyabilir ve bağlı tüm sistemleri riske atabilir. Kimlik doğrulaması gerektirse de saldırının teknik olarak basit olması nedeniyle acil önlem alınması önerilir.

ÖzetTürkçe

Totolink X2000R yönlendiricisinin TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 sürümünde, boa web sunucusundaki formIpv6Setup statik ağ yapılandırma işlevinde birden fazla yığın tabanlı arabellek taşması zafiyeti bulunmaktadır. Zafiyet, static_dns2 parametresi üzerinden tetiklenmektedir. Saldırının başarılı olması için kimlik doğrulaması yapılmış bir HTTP isteği gerekmektedir.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, özel hazırlanmış bir HTTP isteğiyle cihaz üzerinde keyfi kod çalıştırabilir. Bu durum cihazın tamamen ele geçirilmesine ve ağ trafiğinin izlenmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Multiple stack-based buffer overflow vulnerabilities exist in the boa formIpv6Setup static network configuration functionality of Totolink X2000R TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327. A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger these vulnerabilities. This vulnerability concerns the static_dns2 parameter.

Ne yapmalı?

  1. Üretici tarafından sunulan bir düzeltme bilgisi verilmemiştir; bu nedenle cihazın yazılımını üreticinin resmi kanallarından güncel sürüme yükseltip yükseltmediğinizi kontrol edin ve yeni bir sürüm yayımlandığında hemen uygulayın. Genel öneri
  2. Yönetim arayüzüne erişimi yalnızca güvenilen yerel ağ adreslerine kısıtlayın ve arayüzün internet üzerinden erişilebilir olmadığından emin olun. Genel öneri
  3. Yönlendirici yönetici hesabının parolasını güçlü ve benzersiz bir parolayla değiştirin, varsayılan kimlik bilgilerini kullanmayın. Genel öneri
  4. Statik IPv6 ağ ayarlarında DNS alanlarına yalnızca bilinen ve doğru değerleri girin; şüpheli değerleri içeren yapılandırma değişikliklerini inceleyin. Genel öneri

Ek önlemler

  • Yönlendirici yönetim arayüzüne yapılan istekleri ve yapılandırma değişikliklerini günlüklerden düzenli olarak izleyin. Genel öneri
  • Cihazın beklenmedik yeniden başlatma, yavaşlama veya ağ trafiği anomalilerini takip edin. Genel öneri
  • Ağ segmentasyonu uygulayarak yönlendiricinin erişebileceği iç sistemleri sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Totolink TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.