Бюллетень безопасности: удаленное выполнение кода вследствие переполнения буфера в стеке (до аутентификации) в протоколе TDDPv2 (подтип 0x91) на устройстве Deco M9 Plus (CVE-2026-8618)

Описание уязвимости и её последствий:

CVE-2026-8618: Переполнение стека до аутентификации с удалённым выполнением кода в TDDPv2 Subtype 0x91 на Deco M9 Plus

Уязвимость переполнения стека существует в службе TDDPv2 (/usr/bin/tddp) на Deco M9 Plus из-за недостаточной проверки длины расшифрованных данных запроса перед их копированием в буфер стека фиксированного размера в обработчике subtype 0x91.

Успешная эксплуатация может позволить злоумышленнику из соседней сети без аутентификации вызвать отказ в обслуживании или добиться выполнения произвольного кода во время фазы настройки устройства с помощью специально сформированных TDDP-пакетов.

Оценка CVSS v4.0: 7.7 / Высокий

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств предпринять следующие действия:

1. Обновите затронутые устройства до последней версии прошивки, в которой устранена уязвимость:

EN: Загрузка для Deco M9 Plus | TP-Link

US: Загрузка для Deco M9 Plus | TP-Link

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно установить доступные обновления прошивки или применить описанные в данном уведомлении обходные меры. Устройства/системы, не обновлённые или не защищённые описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.