Рекомендации по безопасности при неправильной проверке сертификата в TP-Link Tapo H100 и P100, допускающих атаку «человек посередине» (Man-in-the-Middle Attack) (CVE-2025-15557)

Описание уязвимости и её воздействия:

CVE-2025-15557:

Уязвимость, связанная с неправильной проверкой сертификата, в устройствах TP-Link Tapo H100 v1 и Tapo P100 v1 позволяет злоумышленнику на пути передачи (on-path) в том же сетевом сегменте перехватывать и модифицировать зашифрованные коммуникации между устройством и облаком. Это может скомпрометировать конфиденциальность и целостность связи "устройство-облако", позволяя манипулировать данными устройства или его операциями.

Оценка CVSS v4.0: 7.5 / Высокий уровень

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств предпринять следующие действия:

1. Следуйте инструкциям, чтобы обновиться до последней версии микропрограммы (прошивки) для устранения уязвимостей.

EN:
https://www.tp-link.com/en/support/download/tapo-h100/

https://www.tp-link.com/en/support/download/tapo-p100/

KZ:
https://www.tp-link.com/kz/support/download/tapo-h100/

https://www.tp-link.com/us/support/download/tapo-p100/

Отказ от ответственности:

Если вы не предпримете все рекомендуемые действия, данная уязвимость сохранится. TP-Link не может нести ответственность за последствия, которых можно было бы избежать, следуя данному уведомлению.