Lỗ hổng chèn lệnh hệ điều hành trong firmware TP-LINK Archer AX50, Archer A10, Archer AX10 và Archer AX11000

Nhiều sản phẩm TP-LINK cho phép kẻ tấn công đã xác thực trên mạng lân cận thực thi các lệnh hệ điều hành tùy ý. Các sản phẩm/phiên bản bị ảnh hưởng như sau: các phiên bản firmware của Archer AX50 trước 'Archer AX50(JP)_V1_230529', các phiên bản firmware của Archer A10 trước 'Archer A10(JP)_V2_230504', các phiên bản firmware của Archer AX10 trước 'Archer AX10(JP)_V1.2_230508' và các phiên bản firmware của Archer AX11000 trước 'Archer AX11000(JP)_V1_230523'.

• Archer AX50: các phiên bản firmware trước Archer AX50(JP)_V1_230529 bị ảnh hưởng.
• Archer A10: các phiên bản firmware trước Archer A10(JP)_V2_230504 bị ảnh hưởng.
• Archer AX10: các phiên bản firmware trước Archer AX10(JP)_V1.2_230508 bị ảnh hưởng.
• Archer AX11000: các phiên bản firmware trước Archer AX11000(JP)_V1_230523 bị ảnh hưởng.

Các chuỗi firmware nêu trên là các mốc theo thông báo của vendor/CNA cho những nhánh sản phẩm được xác định. Trạng thái của các nhánh khu vực, hardware revision hoặc firmware khác không được bản ghi xác nhận.

Đây là lỗ hổng chèn lệnh hệ điều hành, được phân loại là CWE-78. Nói đơn giản, một request đã xác thực có thể khiến dữ liệu do kẻ tấn công kiểm soát bị diễn giải như một phần của lệnh hệ điều hành thay vì dữ liệu thông thường. Việc khai thác cần truy cập từ mạng lân cận, một tài khoản đã xác thực với mức đặc quyền thấp và không cần người dùng tương tác; độ phức tạp khai thác được mô tả là thấp. Thành phần bị ảnh hưởng là firmware của Archer AX50, Archer A10, Archer AX10 và Archer AX11000. Bản ghi công khai không xác định command sink, trường đầu vào, API hoặc endpoint cụ thể, cũng không cho biết lệnh được thực thi với đặc quyền của process nào.

• Lỗ hổng có thể bị truy cập từ mạng lân cận, không phải từ mọi vị trí mạng tùy ý.
• Kẻ tấn công phải có tài khoản hợp lệ trên thiết bị; bản ghi mô tả yêu cầu đặc quyền thấp.
• Không cần user interaction và độ phức tạp tấn công được mô tả là thấp.
• Bản ghi được cung cấp đánh dấu public_exploit là false và known_exploited là null. Tài liệu tư vấn được kiểm tra không nêu exploit, chiến dịch, nạn nhân hoặc IOC cụ thể; điều này không chứng minh rằng lỗ hổng chưa từng bị khai thác.

Nếu khai thác thành công, kẻ tấn công có thể thực thi lệnh với quyền của process firmware dễ bị ảnh hưởng, từ đó đọc, sửa hoặc xóa dữ liệu mà process đó truy cập được. Thiết bị có thể bị thay đổi cấu hình hoặc hành vi, và hoạt động mạng có thể bị gián đoạn. Quyền thực thi cụ thể, khả năng leo thang đặc quyền và mức độ ảnh hưởng đến các thiết bị khác trong mạng chưa được công khai. Điều kiện cần có mạng lân cận và tài khoản đã xác thực giới hạn phạm vi tiếp cận ban đầu, nhưng không loại bỏ rủi ro đối với thiết bị đã bị xâm phạm.

Kẻ tấn công đáp ứng điều kiện truy cập mạng lân cận và xác thực có thể đạt khả năng thực thi lệnh trên thiết bị bị ảnh hưởng. Tùy theo quyền của process dễ bị khai thác, điều này có thể làm lộ dữ liệu hoặc cấu hình thiết bị, cho phép thay đổi hành vi và cấu hình mạng, hoặc gây gián đoạn dịch vụ. Các tác động đến tính bí mật, toàn vẹn và sẵn sàng đều có thể xảy ra, nhưng kết quả cụ thể trong từng triển khai chưa được tài liệu hóa. Bản ghi không xác nhận việc di chuyển ngang sang các hệ thống khác trong mạng.

1. Cập nhật từng sản phẩm lên firmware tương ứng với mốc được xác nhận:

• Archer AX50: Archer AX50(JP)_V1_230529
• Archer A10: Archer A10(JP)_V2_230504
• Archer AX10: Archer AX10(JP)_V1.2_230508
• Archer AX11000: Archer AX11000(JP)_V1_230523

1. Trước khi cập nhật, xác minh model, hardware revision và khu vực firmware để tránh áp dụng nhầm image. Sau khi cập nhật, kiểm tra lại chuỗi phiên bản trên thiết bị.
2. Không suy luận rằng một nhánh khu vực hoặc phiên bản khác đã được sửa chỉ vì nó mới hơn về ngày tháng; chỉ các mốc được liệt kê ở trên được bản ghi xác nhận.
3. Nếu không thể cài firmware tương ứng, liên hệ TP-LINK để xác nhận trạng thái của thiết bị cụ thể. Tư vấn được kiểm tra nêu việc cập nhật firmware là biện pháp xử lý và không cung cấp workaround thay thế.

1. Kiểm kê các thiết bị TP-LINK đang sử dụng, bao gồm model chính xác, khu vực firmware, hardware revision và chuỗi phiên bản firmware.
2. Đối chiếu firmware với các mốc trong phần affected_summary. Không coi một firmware khác khu vực hoặc khác nhánh là an toàn nếu chưa được xác nhận.
3. Kiểm tra log quản trị và xác thực, nếu thiết bị lưu giữ các log này, để tìm đăng nhập thành công từ mạng lân cận đi kèm các thay đổi quản trị bất thường, khởi động lại hoặc thay đổi cấu hình.
4. Vì bản ghi không nêu endpoint, log event, request signature hoặc IOC, việc giám sát lưu lượng và log ở trên chỉ là biện pháp cảnh báo bổ sung, không phải dấu hiệu nhận diện đã được xác nhận.
5. Sau khi cập nhật, đọc lại chuỗi firmware trên từng thiết bị và lưu bằng chứng phiên bản đã cài đặt. Không có log đáng ngờ không chứng minh rằng thiết bị an toàn.