TP-Link Omada: 15 luk w ZTP można połączyć w przejęcie sieci

Automatyczne wdrożenie urządzenia sieciowego ma ograniczać błędy administratora, ale jednocześnie tworzy bardzo silną granicę zaufania. Forescout Vedere Labs ujawnił 15 podatności w mechanizmach zero-touch provisioning (ZTP) ekosystemu TP-Link Omada. Część z nich można połączyć z wcześniej znanymi lukami w łańcuch prowadzący od urządzenia oczekującego na adopcję do administracyjnego dostępu, a następnie wykonania poleceń na zarządzanej flocie.

To nie jest pojedynczy błąd jednego routera. ZTP łączy urządzenie, kontroler lokalny lub chmurowy, certyfikaty, dane tenantów i proces pierwszej rejestracji. Jeżeli którykolwiek etap ufa przewidywalnemu identyfikatorowi albo niewłaściwie sprawdzonemu kontrolerowi, automatyzacja przyspiesza również atak.

Co znaleźli badacze

Raport Forescout obejmuje m.in. stałe klucze kryptograficzne i certyfikaty, przesyłanie poświadczeń urządzeń oraz site’ów w niewystarczająco chroniony sposób, słabą walidację certyfikatów umożliwiającą atak man-in-the-middle, race condition podczas adopcji z chmury i XSS w interfejsach kontrolera.

Badacze zwracają też uwagę na przewidywalne numery seryjne i domyślne dane uwierzytelniające ułatwiające enumerację. Jedenaście z piętnastu ustaleń otrzymało identyfikatory CVE; TP-Link uznał pozostałe cztery za problemy o niskiej wadze bez CVE.

Najbardziej niebezpieczna jest możliwość łączenia ustaleń. W jednym scenariuszu zewnętrzny napastnik ściga się z legalnym procesem adopcji urządzenia w chmurze, przechwytuje konfigurację i poświadczenia, a w konsekwencji może uzyskać kontrolę nad kontem kontrolera. Inne ścieżki zakładają obecność w sieci lokalnej i podszycie się pod urządzenie lub kontroler. Część wymaga zatwierdzenia fałszywego urządzenia przez administratora, co nadal jest realne przy masowym wdrożeniu.

Po połączeniu z CVE-2025-7850 i CVE-2025-7851 badacze zademonstrowali możliwość wykonania kodu na zarządzanych urządzeniach. Kompromitacja kontrolera jest więc problemem całej domeny zarządzania, nie tylko pojedynczego access pointa.

Ekspozycja i zakres produktów

Kontroler Omada nie powinien być dostępny bezpośrednio z internetu, lecz Forescout znalazł około 1,8 tys. takich instancji. Podobne wzorce projektowe wykryto również w innych liniach TP-Link: kamerach VIGI, routerach Festa oraz produktach smart home Tapo i Kasa. Nie oznacza to identycznego poziomu ryzyka dla każdego modelu, ale uzasadnia szerszą inwentaryzację.

SecurityWeek informuje, że producent wydał poprawki i zalecenia dla części problemów. Bardziej strukturalne zmiany mają być domykane później w 2026 r., a część ustaleń uznanych za niskie nie otrzyma poprawki. Administrator nie powinien więc traktować jednego upgrade’u jako końca pracy.

Co powinien zrobić zespół sieciowy

1. Zidentyfikuj wersje kontrolerów, urządzeń i metodę adopcji; uwzględnij Omada Cloud, kontrolery sprzętowe i programowe.
2. Usuń panel zarządzania z publicznego internetu. Wymuś VPN, segment administracyjny i uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne.
3. Zainstaluj poprawki z oficjalnych advisories TP-Link. Zweryfikuj rezultat na kontrolerze i urządzeniach, a nie tylko w systemie aktualizacji.
4. Zmień domyślne i powtarzane hasła, unieważnij stare tokeny oraz certyfikaty po podejrzeniu nieautoryzowanej adopcji.
5. W czasie onboardingu porównuj numer seryjny i tożsamość urządzenia z niezależnym spisem dostaw, zamiast zatwierdzać masowo wszystko w kolejce.
6. Monitoruj nowe site’y, adopcje, zmiany kontrolera, eksporty konfiguracji i polecenia wysyłane do floty.
7. Ogranicz komunikację płaszczyzny zarządzania do wymaganych kierunków i przygotuj możliwość odłączenia kontrolera bez utraty logów.

Architekturę warto oprzeć na zasadach zero trust dla sieci i sprawdzić ją w penteście sieci wewnętrznej i segmentacji.

Fakty źródłowe a wnioski Breachroad

Forescout potwierdza 15 ustaleń i demonstracyjne łańcuchy w kontrolowanym środowisku. TP-Link opublikował poprawki dla części problemów. Nie ma w publicznych źródłach informacji o masowym wykorzystaniu tych nowych luk w rzeczywistych atakach, a nie każdy scenariusz jest możliwy z internetu.

Wnioskiem Breachroad jest uznanie procesu ZTP za uprzywilejowany łańcuch dostaw tożsamości urządzenia. Szkolenia cyberbezpieczeństwa dla administratorów pomagają ćwiczyć bezpieczny onboarding, a audyt bezpieczeństwa IT może ocenić ekspozycję kontrolerów, segmentację i zdolność do odbudowy domeny zarządzania.