TP-Link a publié des correctifs pour 15 vulnérabilités affectant le système de provisionnement sans intervention (ZTP) utilisé par ses produits réseau Omada. Les chercheurs de Vedere Labs, l’équipe de Forescout, affirment que ces failles pourraient être combinées à des vulnérabilités d’injection de commandes précédemment divulguées afin de prendre le contrôle de l’infrastructure réseau.
Omada est la gamme de produits de TP-Link destinée aux entreprises. Elle comprend des points d’accès sans fil, des commutateurs, des passerelles, des routeurs VPN ainsi que des services cloud et mobiles associés. Sa fonctionnalité ZTP permet aux organisations et aux fournisseurs de services gérés de déployer des équipements à distance à l’aide de configurations prédéfinies, sans devoir configurer chaque appareil sur site.
Les nouvelles failles signalées couvrent plusieurs catégories d’impact, notamment des clés de chiffrement codées en dur, l’exposition d’informations, le détournement et l’usurpation d’appareils, l’exécution de code à distance et côté client, ainsi que l’interception ou la compromission de communications protégées. Onze de ces problèmes possèdent des identifiants CVE allant de CVE-2025-9289 à CVE-2025-9293, ainsi que CVE-2025-15544 et CVE-2025-15627 à CVE-2025-15631. Quatre autres failles n’ont pas reçu de numéro CVE.
Chaîne d’attaque potentielle
Selon Forescout, un attaquant pourrait énumérer des numéros de série d’appareils prévisibles, identifier les équipements en attente d’adoption et usurper l’identité d’un appareil lors d’une condition de concurrence dans le processus d’adoption cloud. Des identifiants par défaut pourraient ensuite permettre d’accéder aux données de configuration, notamment à un nom d’utilisateur, à un condensat de mot de passe MD5 non salé et, dans certains cas, à des clés VPN.
Les chercheurs ont également décrit une méthode permettant d’injecter du JavaScript dans l’interface d’administration d’un contrôleur. Celle-ci pourrait servir à inciter un administrateur à divulguer ses identifiants du contrôleur cloud. Grâce à ces identifiants, un attaquant pourrait modifier les appareils gérés, établir un accès VPN aux réseaux internes et exploiter les vulnérabilités d’injection de commandes mentionnées précédemment afin de compromettre les équipements.
Les produits et services concernés comprennent les contrôleurs Omada, les passerelles, les commutateurs, les points d’accès, les plateformes de terminaux de ligne optique, l’infrastructure cloud et les applications mobiles de TP-Link. Forescout a indiqué avoir trouvé plus de 1 800 contrôleurs Omada accessibles depuis Internet, bien que ces systèmes ne soient généralement pas destinés à être directement exposés.
Mesures recommandées
Les organisations doivent télécharger les micrologiciels mis à jour depuis le portail de téléchargement Omada de TP-Link et mettre à jour les applications mobiles associées. Les administrateurs doivent également utiliser des mots de passe uniques, activer l’authentification multifacteur, renouveler les identifiants et autres secrets en cas de suspicion de compromission, et surveiller l’activité réseau afin de détecter les connexions ou les modifications de configuration inhabituelles.