XSS lưu trữ yêu cầu xác thực trên TP-Link TL-SG1016DE cho phép chạy JavaScript trong trình duyệt quản trị viên

Một lỗ hổng cross-site scripting (XSS) dạng lưu trữ có yêu cầu xác thực tồn tại trong TP-Link TL-SG1016DE, ảnh hưởng đến phiên bản TL-SG1016DE(UN) V7.6_1.0.0 Build 20230616 và có thể cho phép kẻ tấn công chạy JavaScript trong trình duyệt của quản trị viên. Lỗi này đã được sửa trong TL-SG1016DE(UN) V7_1.0.1 Build 20240628.

• TP-Link TL-SG1016DE: Bản ghi có cấu trúc đánh dấu sản phẩm bị ảnh hưởng ở phạm vi <= V7.6_1.0.0 Build 20230616; trường phiên bản nội bộ của phạm vi này được ghi là 0 và trạng thái mặc định là unaffected.
• Bản firmware được nhà cung cấp liệt kê là đã sửa: TL-SG1016DE(UN)_V7_1.0.1 Build 20240628. TP-Link mô tả bản dựng này là đã sửa lỗ hổng XSS và RSA Key.
• Không có nhánh hardware hoặc nhánh phát hành song song nào khác được xác nhận trong bằng chứng hiện có. Không nên suy ra trạng thái của các nhánh ngoài phạm vi nêu trên chỉ từ việc tồn tại bản sửa lỗi.

TP-Link TL-SG1016DE có lỗi CWE-79, trong đó dữ liệu do người dùng kiểm soát có thể được lưu lại rồi hiển thị trong giao diện web mà không được trung hòa đầy đủ. Khi nội dung lưu trữ được mở trong trình duyệt của quản trị viên, JavaScript do kẻ tấn công cung cấp có thể được thực thi trong ngữ cảnh trình duyệt đó. Khai thác yêu cầu đường truy cập qua mạng, tài khoản đã xác thực với đặc quyền thấp và tương tác của người dùng; dữ liệu đánh giá cũng cho thấy độ phức tạp tấn công thấp. Bản ghi không xác định trường nhập liệu, endpoint, vị trí lưu trữ hoặc thành phần nội bộ cụ thể gây ra lỗi. Tác động được ghi nhận tập trung vào trình duyệt quản trị viên, không đủ bằng chứng để kết luận về việc thực thi mã trực tiếp trên firmware hoặc tiến trình của switch.

• Khả năng tiếp cận: Có thể khai thác qua mạng.
• Xác thực: Cần tài khoản đã xác thực với đặc quyền thấp.
• Tương tác: Cần người dùng, với ngữ cảnh nạn nhân được mô tả là trình duyệt của quản trị viên.
• Độ phức tạp: Bản ghi đánh giá là thấp.
• Tình trạng công khai: Bản ghi đánh dấu đã có public exploit và dữ liệu SSVC ghi nhận trạng thái khai thác là poc, nhưng không nêu tên exploit, payload hoặc các bước khai thác. Điều này không chứng minh rằng lỗi đang bị khai thác thực tế trên diện rộng.

Kết quả kỹ thuật được xác nhận là JavaScript có thể chạy trong trình duyệt của quản trị viên sau khi nội dung XSS lưu trữ được hiển thị. Điều này có thể cho phép thao túng nội dung hoặc hành động trong ngữ cảnh phiên quản trị và có thể ảnh hưởng đến dữ liệu mà trình duyệt được quyền truy cập, nhưng mức độ thực tế còn phụ thuộc vào quyền, phiên đăng nhập và cơ chế bảo vệ của giao diện. Bản ghi cho thấy tác động đến tính bí mật và tính toàn vẹn ở mức thấp, không có tác động đến tính sẵn dụng, và có thay đổi phạm vi từ bối cảnh ban đầu sang trình duyệt nạn nhân. Không có bằng chứng đủ để kết luận rằng lỗi trực tiếp cho phép chiếm quyền điều khiển hoàn toàn firmware hoặc làm ngừng hoạt động switch.

JavaScript chạy trong trình duyệt quản trị viên có thể làm thay đổi nội dung trang, thao tác trong phiên quản trị hoặc truy cập dữ liệu mà trình duyệt đó được phép xem, tùy thuộc vào quyền và cơ chế bảo vệ của giao diện. Bản ghi cho thấy tác động đến tính bí mật và tính toàn vẹn ở mức hạn chế, đồng thời không ghi nhận tác động trực tiếp đến tính sẵn dụng của thiết bị. Lỗi vẫn đáng chú ý vì nạn nhân là quản trị viên, người có thể đang thao tác với cấu hình hoặc thông tin nhạy cảm của switch. Bằng chứng hiện có không xác nhận việc chiếm toàn bộ thiết bị, rò rỉ dữ liệu cụ thể, gián đoạn dịch vụ hoặc một sự cố đã xảy ra.

1. Kiểm kê các thiết bị TL-SG1016DE(UN) và xác minh đúng hardware version trước khi cập nhật.
2. Với thiết bị thuộc phạm vi bị ảnh hưởng, nâng cấp lên đúng firmware TL-SG1016DE(UN)_V7_1.0.1 Build 20240628, là bản TP-Link liệt kê có sửa lỗ hổng XSS. Không diễn giải bản sửa này thành một phạm vi mở cho mọi nhánh phát hành khác.
3. Tải firmware từ website TP-Link chính thức phù hợp với khu vực mua thiết bị. TP-Link cảnh báo rằng dùng sai firmware hardware version có thể làm hỏng thiết bị và ảnh hưởng bảo hành.
4. Trong quá trình nâng cấp, không tắt nguồn. TP-Link cũng khuyến nghị thực hiện qua kết nối có dây khi phù hợp và dừng các ứng dụng Internet hoặc ngắt đường Internet của thiết bị trong lúc cập nhật.
5. Sau khi cập nhật, xác minh lại chuỗi firmware và kiểm tra giao diện quản trị. Bằng chứng hiện có không nêu biện pháp giảm nhẹ tạm thời cụ thể; nếu chưa thể cập nhật, có thể hạn chế quản trị từ các mạng không tin cậy như một biện pháp phòng ngừa, không phải hướng dẫn giảm nhẹ được TP-Link xác nhận.

1. Lập danh sách các thiết bị TL-SG1016DE(UN) đang sử dụng, ghi nhận hardware version và chuỗi firmware hiện tại.
2. Đối chiếu chuỗi firmware với phạm vi bị ảnh hưởng trong bản ghi, đặc biệt là TL-SG1016DE(UN) V7.6_1.0.0 Build 20230616 và các bản trước đó thuộc cùng phạm vi được công bố.
3. Sau khi cập nhật, xác minh trực tiếp chuỗi firmware hiển thị trên thiết bị để bảo đảm thiết bị đã chạy V7_1.0.1 Build 20240628.
4. Kiểm tra giao diện quản trị và browser telemetry để tìm nội dung bất thường, JavaScript không mong muốn hoặc hành vi thay đổi trong các trang mà quản trị viên thường mở. Đây là biện pháp rà soát phòng ngừa, không phải IOC được nhà cung cấp xác nhận.
5. Rà soát hoạt động đăng nhập và truy cập quản trị bất thường như một biện pháp bổ sung. Không có endpoint, sự kiện log hoặc chỉ dấu cụ thể nào được cung cấp; việc không thấy log bất thường không chứng minh thiết bị an toàn.