Уведомление о безопасности: Множественные уязвимости в TP-Link Archer AX55 (CVE-2026-18167 и CVE-2026-18330)

Описание уязвимостей и их последствий:

TP-Link выявил две уязвимости в TP-Link Archer AX55 v4, затрагивающие модули EasyMesh и веб-модуль.

CVE-2026-18167: Переполнение стека

Уязвимость переполнения стека существует в модуле EasyMesh TP-Link Archer AX55 v4. Когда режим Mesh включён, злоумышленник в локальной сети может отправить специально сформированные входные данные, которые вызывают сбой демона easymesh и потенциально могут позволить удалённое выполнение кода на устройстве.

Успешная эксплуатация может вызвать сбой демона EasyMesh и потенциально позволить удалённое выполнение кода, когда режим Mesh включён. Это может привести к высокому влиянию на конфиденциальность, целостность и доступность затронутого устройства.

Оценка CVSS v4.0: 7.7 / Высокий

CVSS:4.0/AV:A/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

CVE-2026-18330: Жёстко закодированный общий закрытый ключ RSA-1024 в веб-входе

Уязвимость, связанная с использованием жёстко закодированного криптографического ключа, существует в веб-модуле TP-Link Archer AX55 v4. Злоумышленник в локальной сети, перехвативший сеанс HTTP-входа, может использовать известный общий закрытый ключ RSA для расшифровки пароля администратора; ослабленный сеансовый ключ AES дополнительно снижает усилия, необходимые для компрометации конфиденциальности сеанса.

Успешная эксплуатация может раскрыть пароль администратора, перехваченный из сеанса HTTP-входа, и скомпрометировать конфиденциальность сеанса.

Оценка CVSS v4.0: 6.1 / Средний

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств предпринять следующие действия:

1. Следуйте инструкциям для обновления до последней версии прошивки, чтобы устранить уязвимости:

US: Загрузка для Archer AX55 | TP-Link

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно установить доступные обновления прошивки или применить описанные в данном уведомлении обходные меры. Устройства/системы, не обновлённые или не защищённые описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.