A TP-Link corrigiu 15 vulnerabilidades no mecanismo de provisionamento sem toque, o ZTP, de seus dispositivos de rede Omada.
As falhas poderiam ser encadeadas com problemas divulgados anteriormente para viabilizar execução remota de código, o RCE.
Os problemas foram descobertos por pesquisadores da Vedere Labs, da Forescout, que divulgaram os detalhes completos nesta terça-feira, durante a conferência de segurança Black Hat USA.
A linha Omada é voltada ao mercado corporativo e inclui pontos de acesso Wi-Fi, switches Ethernet e PoE, gateways de internet e roteadores VPN.
Em geral, esses equipamentos são usados por pequenas e médias empresas, embora a TP-Link também os comercialize para implementações de porte empresarial.
O ZTP é um método que permite implantar dispositivos de rede sem a necessidade de configuração manual presencial em cada equipamento.
Na prática, equipes de TI ou provedores de serviços gerenciados, os MSPs, podem preparar tudo remotamente a partir de uma configuração pré-definida.
Parte das 15 falhas encontradas pela Forescout também afeta outros produtos e serviços da TP-Link, como câmeras IP, dispositivos de automação residencial baseados em IoT, aplicativos móveis e contas na cloud.
Entre os problemas estão chaves criptográficas hardcoded, vazamento de informações, execução remota de código, sequestro e falsificação de dispositivos, execução de código do lado do cliente e interceptação ou comprometimento de comunicações criptografadas.
Segundo a Forescout, um atacante poderia combinar as novas falhas com duas vulnerabilidades de injeção de comandos divulgadas anteriormente para comprometer a cadeia de confiança da Omada e infiltrar-se nas redes.
“As vulnerabilidades se enquadram em quatro categorias de impacto: execução de código do lado do cliente, divulgação de informações, sequestro e falsificação de dispositivos e comprometimento de comunicações criptografadas”, explicou a Forescout.
“Combinadas com duas CVEs já divulgadas, a
CVE-2025-7850
e a
CVE-2025-7851
, essas falhas permitem ataques concretos que dão ao invasor acesso às redes por meio de controladores e dispositivos cliente.”
O comunicado da TP-Link lista 15 falhas recém-divulgadas, das quais 11 receberam os seguintes identificadores:
CVE-2025-9289
até
CVE-2025-9293
CVE-2025-15544
CVE-2025-15627
até
CVE-2025-15631
As outras quatro descobertas não receberam número de acompanhamento.
Elas envolvem adoção de dispositivos com base apenas no conhecimento do número de série, credenciais padrão usadas na adoção inicial, números de série previsíveis e arquivos disponibilizados por meio de links temporários de download sem autenticação.
Em um dos cenários de ataque descritos pela Forescout, um invasor remoto poderia enumerar números de série previsíveis para obter endereços MAC e identificar dispositivos que ainda aguardam adoção.
Em seguida, o atacante poderia se passar por um desses dispositivos, explorar uma condição de disputa durante a adoção na cloud e se autenticar usando credenciais padrão.
Isso levaria o controlador a expor a configuração do dispositivo, incluindo um nome de usuário em texto claro, um hash MD5 de senha sem salt e, possivelmente, chaves de VPN.
O atacante também poderia inserir JavaScript na interface administrativa do controlador para aplicar phishing em um administrador e roubar suas credenciais da cloud e do controlador.
Com essas credenciais em mãos, o invasor poderia reconfigurar dispositivos gerenciados, criar túneis VPN para a rede interna e explorar falhas de injeção de comandos já divulgadas para comprometer equipamentos de rede.
As falhas afetam Controladores Omada, Gateways, Switches, Pontos de Acesso, plataformas OLT, serviços na cloud e aplicativos móveis da TP-Link.
A Forescout afirma ter identificado mais de 1.800 controladores Omada acessíveis pela internet, embora esse tipo de implantação geralmente não deva ficar exposto diretamente à internet.
No caso dos aplicativos para Android, Omada e Omada Guard somam 1,1 milhão de downloads no Google Play, enquanto os aplicativos da TP-Link, em conjunto, têm de 3 a 7 milhões de contas ativas.
A orientação aos usuários é acessar o portal de downloads da Omada da TP-Link para baixar as versões mais recentes do firmware compatíveis com o modelo do equipamento.
Além disso, recomenda-se usar credenciais de administrador fortes e exclusivas, habilitar autenticação multifator, MFA, trocar todos os segredos quando houver suspeita de comprometimento, atualizar os aplicativos móveis e monitorar o tráfego de rede em busca de atividades suspeitas.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...