Thực thi lệnh OS không cần xác thực trong các sản phẩm Archer và Deco của TP-Link

Nhiều sản phẩm TP-LINK cho phép kẻ tấn công không cần xác thực ở vị trí kề mạng, có quyền truy cập vào sản phẩm, thực thi các lệnh tùy ý của hệ điều hành. Với cấu hình ban đầu, thiết bị bị ảnh hưởng chỉ cho phép đăng nhập từ cổng LAN hoặc Wi-Fi.

• Archer AX3000: Các phiên bản firmware trước Archer AX3000(JP)_V1_1.1.2 Build 20231115 bị ảnh hưởng. TP-Link liệt kê firmware này là mốc khắc phục cho nhánh Archer AX3000(JP)_V1.
• Archer AX5400: Các phiên bản firmware trước Archer AX5400(JP)_V1_1.1.2 Build 20231115 bị ảnh hưởng. TP-Link liệt kê firmware này là mốc khắc phục cho nhánh Archer AX5400(JP)_V1.
• Archer AXE75: Các phiên bản firmware trước Archer AXE75(JP)_V1_231115 bị ảnh hưởng. TP-Link liệt kê firmware này là mốc khắc phục cho nhánh Archer AXE75(JP)_V1.
• Deco X50: Các phiên bản firmware trước Deco X50(JP)_V1_1.4.1 Build 20231122 bị ảnh hưởng. TP-Link liệt kê firmware này là mốc khắc phục cho nhánh Deco X50(JP)_V1.
• Deco XE200: Các phiên bản firmware trước Deco XE200(JP)_V1_1.2.5 Build 20231120 bị ảnh hưởng. TP-Link liệt kê firmware này là mốc khắc phục cho nhánh Deco XE200(JP)_V1.

Lỗ hổng thuộc nhóm OS command injection, được phân loại là CWE-78. Kẻ tấn công có thể đưa dữ liệu được kiểm soát vào đường xử lý lệnh của thiết bị, nhưng advisory công khai không nêu rõ tham số, endpoint, parser hoặc hàm nội bộ dễ bị khai thác. Điều kiện tiếp cận là có quyền truy cập mạng lân cận thông qua cổng LAN hoặc Wi-Fi; không cần xác thực và không cần người dùng tương tác. Cấu hình ban đầu của thiết bị chỉ cho phép đăng nhập từ LAN hoặc Wi-Fi, nhưng CVE này được mô tả là có thể khai thác mà không cần đăng nhập. Chi tiết triển khai cụ thể và thành phần firmware bị lỗi vẫn chưa được công bố.

• Khả năng tiếp cận: Kẻ tấn công phải ở cùng phạm vi mạng lân cận và tiếp cận thiết bị qua cổng LAN hoặc Wi-Fi.
• Xác thực: Không yêu cầu tài khoản hoặc mật khẩu.
• Tương tác người dùng: Không yêu cầu người dùng thực hiện thao tác.
• Độ phức tạp: Thấp theo dữ liệu chuẩn hóa của bản ghi.
• Tình trạng khai thác: Bản ghi được cung cấp không xác định chiến dịch khai thác đã biết, việc sử dụng trong ransomware hoặc mã khai thác công khai. Các advisory được kiểm tra cũng không công bố exploit code hay indicator cụ thể. Điều này không chứng minh rằng lỗ hổng chưa từng bị khai thác.

Lỗ hổng cho phép thực thi lệnh OS tùy ý trên chính thiết bị bị ảnh hưởng. Các tác động được ghi nhận bao gồm nguy cơ ảnh hưởng cao đến tính bí mật, tính toàn vẹn và tính sẵn sàng của thiết bị, vì lệnh có thể đọc hoặc thay đổi dữ liệu và cấu hình cũng như làm gián đoạn hoạt động mạng. Phạm vi tác động được mô tả là không thay đổi, nên bằng chứng hiện có xác định hậu quả trực tiếp trên thiết bị bị lỗi; việc thực thi mã trên các máy khác hoặc khả năng pivot sang hệ thống khác chưa được thiết lập. Trong môi trường doanh nghiệp, sự cố có thể làm gián đoạn kết nối và yêu cầu kiểm tra lại cấu hình, firmware hoặc trạng thái tin cậy của thiết bị.

Việc thực thi lệnh OS tùy ý có thể làm lộ dữ liệu và thông tin cấu hình trên thiết bị, thay đổi cấu hình mạng hoặc làm gián đoạn dịch vụ định tuyến và Wi-Fi. Kẻ tấn công cũng có thể làm suy giảm tính toàn vẹn của firmware hoặc các thiết lập quản trị, khiến thiết bị cần được khôi phục hoặc thay thế. Do điều kiện khai thác chỉ yêu cầu quyền truy cập LAN hoặc Wi-Fi, các mạng có khách, thiết bị không đáng tin cậy hoặc quyền truy cập vật lý rộng có thể làm tăng phạm vi phơi nhiễm. Bản ghi không nêu nạn nhân, vụ xâm nhập hoặc chiến dịch cụ thể.

1. Nâng cấp từng model bị ảnh hưởng lên firmware khắc phục tương ứng do TP-Link công bố:

• Archer AX3000: Archer AX3000(JP)_V1_1.1.2 Build 20231115.
• Archer AX5400: Archer AX5400(JP)_V1_1.1.2 Build 20231115.
• Archer AXE75: Archer AXE75(JP)_V1_231115.
• Deco X50: Deco X50(JP)_V1_1.4.1 Build 20231122.
• Deco XE200: Deco XE200(JP)_V1_1.2.5 Build 20231120.

1. Tải firmware từ trang TP-Link chính thức phù hợp với khu vực mua hàng và hardware revision. Không sử dụng firmware của khu vực hoặc phiên bản phần cứng khác.
2. Sau khi cập nhật, xác minh lại model, hardware revision và firmware trong giao diện quản trị hoặc ứng dụng Tether/Deco. TP-Link cho biết các thiết bị bị ảnh hưởng đã được phân phối firmware xử lý và có thể thông báo cập nhật qua các giao diện này.
3. Nếu chưa thể cập nhật, coi thiết bị vẫn đang phơi nhiễm. Hạn chế quyền truy cập LAN và Wi-Fi đối với người dùng, thiết bị và mạng khách không đáng tin cậy, đồng thời cân nhắc cô lập thiết bị cho đến khi cập nhật được hoàn tất. Đây là biện pháp giảm rủi ro tạm thời, không phải bản vá được vendor xác nhận.
4. Các nguồn đã kiểm tra không nêu một workaround cụ thể thay thế cho việc cập nhật firmware.

1. Kiểm kê tất cả thiết bị TP-Link trong phạm vi quản trị, bao gồm model, hardware revision và firmware đang chạy; ưu tiên Archer AX3000, Archer AX5400, Archer AXE75, Deco X50 và Deco XE200.
2. Kiểm tra firmware trong giao diện quản trị Web, Tether hoặc Deco app, sau đó đối chiếu với các mốc firmware khắc phục tương ứng trong phần affected_summary.
3. Xác nhận thiết bị đã nhận đúng firmware cho khu vực và hardware revision của nó. TP-Link cảnh báo rằng firmware khác khu vực hoặc khác hardware revision có thể gây lỗi cập nhật.
4. Kiểm tra lịch sử thay đổi cấu hình, đăng nhập quản trị, khởi động lại bất thường và thay đổi firmware như một biện pháp rà soát thận trọng. Đây là dấu hiệu cần xem xét, không phải indicator được vendor xác nhận.
5. Không có IOC hoặc log signature cụ thể được công bố cho lỗ hổng này. Việc không thấy sự kiện đáng ngờ không chứng minh thiết bị an toàn.