TP-Link ha rilasciato correzioni per 15 vulnerabilità che interessano il sistema di provisioning zero-touch (ZTP) utilizzato dai suoi prodotti di rete Omada. I ricercatori di Vedere Labs di Forescout affermano che i problemi potrebbero essere combinati con vulnerabilità di command injection divulgate in precedenza per ottenere il controllo dell'infrastruttura di rete.
Omada è il portafoglio di prodotti TP-Link dedicato alle aziende e comprende punti di accesso wireless, switch, gateway, router VPN e relativi servizi cloud e mobile. La funzionalità ZTP consente alle organizzazioni e ai provider di servizi gestiti di distribuire le apparecchiature da remoto utilizzando configurazioni predefinite, senza dover configurare ogni dispositivo sul posto.
Le vulnerabilità segnalate di recente riguardano diversi ambiti, tra cui chiavi di cifratura hard-coded, esposizione di informazioni, dirottamento e spoofing dei dispositivi, esecuzione di codice da remoto e lato client, nonché intercettazione o compromissione delle comunicazioni protette. Undici problemi hanno identificativi CVE compresi tra CVE-2025-9289 e CVE-2025-9293, CVE-2025-15544 e CVE-2025-15627 e CVE-2025-15631. Altre quattro vulnerabilità non hanno ricevuto un identificativo CVE.
Potenziale catena d'attacco
Secondo Forescout, un aggressore potrebbe enumerare numeri di serie prevedibili dei dispositivi, identificare le apparecchiature in attesa di adozione e impersonare un dispositivo durante una race condition nel processo di adozione dal cloud. Le credenziali predefinite potrebbero quindi consentire l'accesso ai dati di configurazione, tra cui un nome utente, un hash della password MD5 non sottoposto a salt e, in alcuni casi, chiavi VPN.
I ricercatori hanno inoltre descritto un metodo per iniettare JavaScript nell'interfaccia di gestione di un controller. Questa tecnica potrebbe essere utilizzata per indurre un amministratore a cedere le credenziali del controller cloud. Con tali credenziali, un aggressore potrebbe modificare i dispositivi gestiti, stabilire l'accesso VPN alle reti interne e sfruttare le precedenti vulnerabilità di command injection per compromettere le apparecchiature.
I prodotti e i servizi interessati includono controller Omada, gateway, switch, punti di accesso, piattaforme per terminali di linea ottica, infrastruttura cloud e applicazioni mobili TP-Link. Forescout ha dichiarato di aver individuato oltre 1.800 controller Omada raggiungibili da Internet, sebbene questi sistemi generalmente non siano destinati a essere esposti direttamente.
Azioni consigliate
Le organizzazioni dovrebbero scaricare il firmware aggiornato dal portale di download Omada di TP-Link e aggiornare le applicazioni mobili associate. Gli amministratori dovrebbero inoltre utilizzare password univoche, abilitare l'autenticazione a più fattori, modificare le credenziali e gli altri segreti qualora si sospetti una compromissione e monitorare l'attività di rete alla ricerca di connessioni o modifiche alla configurazione insolite.