Komunikat dotyczący wielu podatności produktów sieciowych TP-Link zarządzanych przez ISP (CVE-2025-30237 do CVE-2025-30241)

Wprowadzenie

W produktach sieciowych Aginet od TP-Link zidentyfikowano wiele podatności bezpieczeństwa. Są spowodowane nieprawidłowym egzekwowaniem autoryzacji, niebezpiecznym obsługiwaniu wrażliwych danych, niebezpiecznym przetwarzaniem dowiązań symbolicznych (symbolic link) i niewystarczającą walidacją danych wejściowych.

Wykorzystanie tych luk zabezpieczeń wymaga dostępu do sieci i w niektórych przypadkach również prawidłowych poświadczeń użytkownika do panelu konfiguracyjnego urządzenia.

Opis podatności bezpieczeństwa i ich wpływ:

CVE-2025-30237: Pominięcie uwierzytelnienia przez niewłaściwą kontrolę dostępu w serwerze web

Urządzenia, których dotyczy problem, zawierają lukę w interfejsie zarządzania web, polegającą na tym, że mechanizmy uwierzytelniania nie są konsekwentnie egzekwowane dla niektórych punktów końcowych (endpoint). Atakujący może wysyłać specjalnie spreparowane żądania, aby obejść proces uwierzytelniania i bezpośrednio wywołać funkcje wymagające podwyższonych uprawnień, bez posiadania prawidłowych poświadczeń. Problem ten wynika z nieprawidłowego egzekwowania mechanizmów kontroli dostępu dla operacji wrażliwych z punktu widzenia bezpieczeństwa.

Pomyślne wykorzystanie luki może umożliwić nieuwierzytelnionej osobie atakującej wykonywanie uprzywilejowanych operacji i uzyskania pełnej kontroli nad urządzeniem.

CVSS v4.0 Wynik: 8.7 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2025-30238: Podniesienie uprawnień wskutek nieprawidłowej autoryzacji zarządzania użytkownikami

Niewystarczająca walidacja autoryzacji umożliwia uwierzytelnionym użytkownikom z niskim poziomem uprawnień wykonywanie operacji wymagających wyższego poziomu uprawnień.

Osoba atakująca może przeprowadzać działania administracyjne takie jak tworzenie uprzywilejowanych kont lub zmiana krytycznych ustawień konfiguracji.

CVSS v4.0 Wynik: 8.6 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2025-30239: Ujawnienie wrażliwych danych spowodowane zakodowanymi na stałe kluczami kryptograficznymi

Wykorzystanie zakodowanych na stałe kluczy kryptograficznych osadzonych w oprogramowaniu do ochrony wrażliwych danych konfiguracyjnych może umożliwić osobie atakującej, która uzyska dostęp do pamięci urządzenia, odzyskanie tych kluczy i odszyfrowanie przechowywanych danych.

Pomyślne wykorzystanie luki może umożliwić dostęp do odszyfrowanych danych wrażliwej konfiguracji, w tym poświadczeń i informacji związanych z usługą.

CVSS v4.0 Wynik: 8.5 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

CVE-2025-30240: Odczyt dowolnych plików wskutek nieprawidłowej obsługi dowiązań symbolicznych (symlink) w ścieżce dostępu HTTPS USB.

Urządzenia, których dotyczy problem, nie przeprowadzają prawidłowej walidacji dowiązań symbolicznych (symlinków) tworzonych na zewnętrznych nośnikach pamięci USB. Poprzez umieszczenie specjalnie spreparowanego dowiązania symbolicznego na obsługiwanym nośniku pamięci, atakujący może spowodować, że system rozwiąże (zinterpretuje) to dowiązanie.

Pomyślne wykorzystanie tej luki może umożliwić nieautoryzowany dostęp do odczytu wrażliwych plików znajdujących się w systemie plików urządzenia.

CVSS v4.0 Wynik: 5.1 / Średni

CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

CVE-2025-30241: Wstrzykiwanie komend systemu operacyjnego w interfejsie Web

Niektóre komponenty interfejsu web nie przeprowadzają prawidłowej walidacji i sanityzacji danych wejściowych dostarczanych przez użytkownika przed przekazaniem ich do funkcji wykonujących polecenia systemowe. Uwierzytelniony atakujący znajdujący się w sąsiedniej sieci może wstrzyknąć specjalnie spreparowane dane wejściowe, aby wykonać dowolne polecenia systemu operacyjnego z podwyższonymi uprawnieniami.

Pomyślne wykorzystanie luki może prowadzić do wykonywania dowolnych komend systemowych, prowadząc potencjalnie do pełnego naruszenia bezpieczeństwa urządzenia.

CVSS v4.0 Wynik: 8.6 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Produkty i ich wersje, których dotyczy podatność oraz dostępne poprawki:

Urządzenia podatne na te luki obejmują również warianty dostosowane do potrzeb konkretnych dostawców usług internetowych (ISP), na przykład wersje regionalne lub opracowane dla określonych operatorów, które są wdrażane i zarządzane przez usługodawców. Poniższa tabela zawiera ogólne wersje urządzeń przeznaczone dla poszczególnych krajów.

Uwagi:

• Oprogramowanie jest rozprowadzane przez mechanizmy aktualizacji zarządzane przez ISP.
• Szczegółowa lista modeli (SKU), których dotyczy podatność, różni się w zależności od wdrożenia danego dostawcy usług internetowych (ISP) i nie jest publicznie udostępniana.
• Symbol “X” wskazuje, że dany model obejmuje warianty podatne na odpowiadające im luki bezpieczeństwa. Ocena podatności opiera się na analizie standardowych (ogólnych) wersji modeli, ponieważ warianty dostosowane do konkretnych dostawców usług internetowych (ISP) mogą się różnić pod względem funkcjonalności i poziomu podatności.

Zalecenia:

W przypadku urządzeń korzystających z oprogramowania zarządzanego przez dostawców usług internetowych (ISP), działania remediacji będą koordynowane za pośrednictwem odpowiednich dostawców usług internetowych.

Zaktualizowane oprogramowanie może zostać dostarczone automatycznie lub udostępnione za pośrednictwem obsługiwanych mechanizmów aktualizacji urządzenia, takich jak interfejs konfiguracyjny urządzenia lub powiązane aplikacje administracyjne, w zależności od sposobu wdrożenia stosowanego przez danego dostawcę usług internetowych (ISP).

Użytkownicy końcowi powinni sprawdzić w interfejsie konfiguracyjnym urządzenia lub powiązanej aplikacji administracyjnej, czy dostępna jest aktualizacja oprogramowania. Jeśli aktualizacja nie jest dostępna lub jeśli potrzebują dodatkowych informacji dotyczących jej dostępności, powinni skontaktować się ze swoim dostawcą usług internetowych (ISP) w celu uzyskania pomocy.

Obrazy oprogramowania dla podatnych wariantów urządzeń dostosowanych do konkretnych dostawców usług internetowych (ISP) mogą nie być publicznie dostępne do bezpośredniego pobrania.

Zastrzeżenia:

Ten komunikat jest wydany wyłącznie w celach informacyjnych i może ulec zmianie bez powiadomienia. Informacje są podawane “tak jak są” bez jakichkolwiek gwarancji. TP-Link zaleca swoim klientom zastosowanie aktualizacji oprogramowania lub zaimplementowanie udokumentowanego rozwiązania w tym komunikacie. Urządzenia i systemy, które nie zostaną zaktualizowane lub nie zostanie ograniczona ich podatność, mogą w dalszym ciągu być zagrożone. TP-Link zrzeka się jakiejkolwiek odpowiedzialności za szkody i straty wynikające z niepowodzenia implementacji podanych aktualizacji.