TP-Link отпечатва серийния номер на рутерите Omada върху техните опаковки и на етикет, прикрепен към самото устройство. Тези номера следват последователност, като подаването на налучкан сериен номер към облачната услуга на Omada връща MAC адреса и модела на съответното устройство. Серийните номера, започващи с 22460J500, изглежда съответстват на рутери ER605, а тези, започващи с 224608100 – на ER7206.

Изследователите от Vedere Labs на Forescout интегрираха това във верига от атаки – една от няколкото, които сглобиха от общо 15 уязвимости в Omada, мрежовата продуктова линия на TP-Link за малки и средни предприятия.

Атакуващ, който никога не е имал физически или мрежов достъп до целевата мрежа, може да придобие администраторската парола за облачния контролер, споделената парола, използвана от всяко устройство на даден обект, и VPN тунел към вътрешната мрежа. Всички организации, използващи рутери, комутатори или точки за достъп Omada, са изложени на риск. Това важи и за собствениците на оборудване от четири други продуктови линии на TP-Link, които се доверяват на същата компрометирана верига от сертификати.

TP-Link публикува препоръки за сигурност и корекции за повечето от откритията. Компанията отказа да издаде CVE идентификатори за четири от тях и оцени проблемите с последователните серийни номера като такива с ниска степен на опасност.

Какво прави автоматичното конфигуриране без физическа намеса (ZTP)

ZTP (Zero-touch provisioning) съществува, за да позволи на мрежовите администратори да разопаковат например 150 точки за достъп, без да се налага да ги конфигурират ръчно. Когато ново устройство се свърже с интернет, то намира сървър за конфигуриране (наречен контролер) и получава своите настройки, идентификационни данни и фърмуер от него. В Omada този контролер може да бъде облачна услуга, физическо устройство или софтуер, работещ във виртуална машина.

Централизираното управление обаче означава и централизирана точка на компрометиране. Ако бъде компрометиран контролерът, атакуващият поема контрол над всяко устройство, което той управлява. Omada групира устройствата в обекти (sites), като всеки обект споделя едно потребителско име и парола за всички свои устройства, така че компрометирането на едни идентификационни данни засяга цялата група оборудване.

Контролерите също така заемат привилегирована позиция в мрежата, често с изключения в правилата на защитната стена, което прави откриването на злоупотреби изключително трудно. Докладът на Forescout описва тази техника с термин, познат на повечето защитници – „използване на легитимни системни инструменти за злонамерени цели в мрежовата инфраструктура“ (living off the land).

Веригата: от сериен номер до VPN тунел

Чрез масови заявки към облачния API с налучени серийни номера, атакуващият може да събере списък с MAC адреси на устройства, които все още не са регистрирани в контролер. След това атакуващият изпреварва легитимното устройство, като фалшифицира неговия MAC адрес и изпраща първоначалната заявка за регистрация преди него, повтаряйки я на всеки 60 секунди, докато облакът отговори. Vedere Labs постигнаха висок процент на успеваемост при тестовете и изчислиха, че едновременното обработване на 1000 MAC адреса изисква приблизително 17 заявки в секунда.

За отговор на предизвикателството за удостоверяване от страна на облака не се изисква никаква тайна информация. Новото устройство се идентифицира с фабричните идентификационни данни admin/admin, така че атакуващият се подписва по същия начин. Облакът отговаря с конфигурацията на устройството: потребителското име за обекта в некриптиран текст, паролата като MD5 хеш без сол (salt) и в някои случаи VPN ключове. Разбиването на хеша не е задължително, тъй като протоколът на Omada приема самия хеш като доказателство за идентичност.

След това имитираното устройство съобщава своята версия на фърмуера на контролера, като тези данни не се филтрират по никакъв начин. Въвеждането на JavaScript код в това поле води до неговото изпълнение в браузъра на администратора. Изследователите от Vedere Labs използваха това, за да визуализират фалшив прозорец за влизане с изтекъл сеанс над интерфейса на Omada, изпращайки откраднатата парола към сървър под контрола на атакуващия. Чрез този компрометиран акаунт атакуващият може да конфигурира VPN тунели към вътрешната мрежа. Веднъж проникнал вътре, чрез вече разкрита уязвимост (CVE-2025-7850) той може да изпълнява команди на устройствата Omada с права на root.

Една верига от сертификати, пет продуктови фамилии

Разкритието, свързано с веригата от сертификати, има най-широк обхват. Хардуерните и софтуерните контролери на Omada се доставят с вградени в софтуера TLS сертификат и частен ключ, като този ключ се използва за доказване на автентичността на контролера. Извличането му от един контролер позволява на атакуващия да убеди клиентските устройства, че неговата машина е техният легитимен контролер. Облачните връзки наистина извършват допълнителна проверка на идентичността, но замяната на хост името на контролера с неговия IP адрес заобикаля тази защита.

Същата верига на доверие се използва и при камерите VIGI, рутерите Festa, както и при линиите за умен дом Tapo и Kasa. Един набор от сертификати обслужва пет продуктови фамилии.

Паролите на устройствата, съхранявани в самите рутери, са хеширани с MD5 без сол, след което са шифровани с AES-256 чрез ключ, твърдо кодиран в изходния код. Този ключ е текстовият низ „who are you?“.

426 дни, като част от проблемите няма да бъдат коригирани

Vedere Labs докладваха всички проблеми през юни 2025 г. и публикуваха информацията 426 дни по-късно. Две от уязвимостите не могат да бъдат отстранени чрез обновяване на фърмуера. На ден 240 от процеса TP-Link заяви, че за коригиране на предвидимите серийни номера и проблема с изброяването ще са необходими промени в производството на устройствата, опаковането, фабричните процеси и логистиката на дистрибуторите, като тази работа може да не приключи преди третото тримесечие на 2026 г.

Инсталирането на корекции за сигурност за контролерите и мобилните приложения е първата стъпка, съгласно препоръките за сигурност. След това трябва да се спре практиката за повторно използване на една и съща парола на различни устройства по време на автоматичното конфигуриране, да се променят идентификационните данни на устройствата, да се активира многофакторно удостоверяване (MFA) за TP-Link ID профилите и да се подменят всички VPN ключове.