Thực thi phản hồi chưa kiểm tra cho phép MitM chạy JavaScript trên router TP-Link Archer và TL-WR

Phản hồi từ TP-Link Archer MR200 v5.2, C20 v5 và v6, TL-WR850N v3 và TL-WR845N v4 đối với mọi yêu cầu đang được thực thi bởi hàm JavaScript như eval trực tiếp mà không có bất kỳ kiểm tra nào. Kẻ tấn công có thể khai thác lỗ hổng này thông qua cuộc tấn công Man-in-the-Middle (MitM) để thực thi mã JavaScript trên cổng web quản trị của router mà không cần sự cho phép hoặc không để người dùng biết.

• Archer MR200 v5.20: bị ảnh hưởng ở các phiên bản <= 1.1.0 Build 240723 Rel. 52455n. Phiên bản sửa lỗi được TP-Link nêu là 1.2.0 Build 250917 Rel.51746.
• Archer C20 v5: bị ảnh hưởng ở các phiên bản <= V5_241231. TP-Link nêu các phiên bản sửa lỗi theo khu vực là US_V5_260419 và EU_V5_260317.
• Archer C20 v6: bị ảnh hưởng ở các phiên bản <= 0.9.1 4.19 v0001.0 Build 241231 Rel.53022n. Phiên bản sửa lỗi là 0.9.1 4.19 v0001.0 Build 250630 Rel.56583n.
• TL-WR850N v3: bị ảnh hưởng ở các phiên bản <= 3.16.0 0.9.1 Build 230227. Phiên bản sửa lỗi là 3.16.0 0.9.1 v6031.0 Build 251205 Rel.22089n.
• TL-WR845N v4: bị ảnh hưởng ở các phiên bản <= 0.9.1 3.19 Build 250401 rel57442. Phiên bản sửa lỗi là 0.9.1 3.19 Build 251031 rel33710.

TP-Link ghi nhận Archer C20 v5 là EOL và cho biết các model còn lại trong thông báo không được bán tại Hoa Kỳ. Trạng thái của các nhánh hoặc biến thể không được liệt kê riêng trong thông báo không nên được suy đoán từ bản sửa lỗi của một nhánh khác.

TP-Link xác định rằng phản hồi từ router đối với mọi yêu cầu được thực thi trực tiếp bằng hàm JavaScript như eval mà không qua kiểm tra. Trong kịch bản Man-in-the-Middle (MitM), kẻ tấn công có thể kiểm soát hoặc thay đổi phản hồi được chuyển tới cổng web quản trị, khiến trình duyệt thực thi JavaScript ngoài ý muốn. Vector được cung cấp cho thấy cuộc tấn công cần khả năng tiếp cận mạng lân cận, không yêu cầu quyền xác thực trên router và có tương tác người dùng ở mức thụ động. Thành phần bị ảnh hưởng là cơ chế xử lý phản hồi JavaScript trong giao diện quản trị; bản ghi không nêu endpoint, định dạng phản hồi, điểm gọi JavaScript cụ thể hoặc các giả định chi tiết về lớp truyền tải. Điểm yếu được phân loại là CWE-95, tức thực thi chỉ thị trong mã được đánh giá động mà không trung hòa phù hợp.

Lỗ hổng có thể bị khai thác từ vị trí mạng lân cận thông qua một cuộc tấn công MitM nhằm tác động tới lưu lượng được dùng bởi cổng quản trị router. Bản ghi cho biết cuộc tấn công không yêu cầu quyền truy cập trước trên router, nhưng cần một điều kiện tiên quyết là kẻ tấn công có vị trí MitM và cần tương tác người dùng ở mức thụ động. Người dùng không cần chủ động cho phép đoạn mã, vì TP-Link mô tả việc thực thi xảy ra trên cổng quản trị mà người dùng không biết hoặc không cho phép. Bản ghi được cung cấp đánh dấu public_exploit là false và known_exploited là null; bằng chứng đã xem xét không nêu chiến dịch, nạn nhân, IOC hoặc mã khai thác cụ thể. Trạng thái này không chứng minh rằng việc khai thác trong tương lai là không thể.

Khai thác thành công khiến mã JavaScript chạy trong ngữ cảnh trình duyệt của cổng web quản trị router. Điều này có thể làm lộ thông tin được phiên quản trị truy cập và có thể cho phép tác động tới các thao tác hoặc thiết lập mà giao diện quản trị cung cấp. TP-Link nêu nguy cơ lộ mật khẩu, nhưng bằng chứng không xác định một hành động cấu hình cụ thể, việc thực thi mã trên hệ điều hành router hoặc khả năng lan sang các hệ thống khác. Vì cuộc tấn công cần vị trí MitM trên mạng lân cận và tương tác người dùng thụ động, phạm vi rủi ro phụ thuộc vào đường mạng có thể bị kiểm soát và các quyền sẵn có trong phiên quản trị. Hậu quả tổ chức có thể gồm mất tính bí mật của dữ liệu quản trị, thay đổi cấu hình không được phép và gián đoạn dịch vụ router, nhưng các hậu quả cụ thể này vẫn phụ thuộc vào mã được thực thi và khả năng của phiên bị tác động.

• Việc thực thi JavaScript trong cổng quản trị có thể làm lộ dữ liệu được hiển thị trong phiên quản trị, bao gồm thông tin cấu hình hoặc dữ liệu nhạy cảm của router.
• Kẻ tấn công có thể tác động tới các thao tác quản trị mà phiên trình duyệt được phép thực hiện, nhưng bằng chứng hiện có không xác định một thiết lập cụ thể hoặc khẳng định việc chiếm toàn bộ router.
• TP-Link cảnh báo về nguy cơ lộ mật khẩu và khuyến nghị đổi mật khẩu sau khi nâng cấp firmware.
• Tác động thực tế phụ thuộc vào việc kẻ tấn công có giành được vị trí MitM trên mạng lân cận hay không và người dùng có truy cập cổng quản trị trong điều kiện bị tác động hay không.
• Archer C20 v5 được TP-Link ghi nhận là EOL; các model còn lại trong thông báo được TP-Link cho biết không bán tại Hoa Kỳ, nên việc xác định tài sản và khả năng cập nhật theo khu vực có ý nghĩa vận hành.

1. Nâng cấp firmware theo đúng model, hardware revision và khu vực. Cập nhật Archer MR200 v5.20 lên 1.2.0 Build 250917 Rel.51746.
2. Cập nhật Archer C20 v5 lên firmware khu vực tương ứng: US_V5_260419 hoặc EU_V5_260317.
3. Cập nhật Archer C20 v6 lên 0.9.1 4.19 v0001.0 Build 250630 Rel.56583n, TL-WR850N v3 lên 3.16.0 0.9.1 v6031.0 Build 251205 Rel.22089n, và TL-WR845N v4 lên 0.9.1 3.19 Build 251031 rel33710.
4. Sau khi nâng cấp firmware, đổi mật khẩu quản trị để giảm nguy cơ ảnh hưởng từ khả năng lộ mật khẩu mà TP-Link đã nêu.
5. Xác minh lại model, khu vực và phiên bản sau khi cập nhật. Không dùng bản sửa lỗi của một sản phẩm hoặc nhánh firmware để kết luận rằng sản phẩm hay nhánh khác không bị ảnh hưởng. Nếu không thể triển khai firmware tương ứng, bằng chứng hiện có không cung cấp một workaround đã được xác nhận; cần liên hệ TP-Link để xác định lựa chọn hỗ trợ hoặc thay thế phù hợp.

1. Lập danh sách các thiết bị đang triển khai và xác định đúng model cùng hardware revision, đặc biệt là Archer MR200, Archer C20, TL-WR850N và TL-WR845N.
2. Đọc phiên bản firmware hiện tại trên từng thiết bị và đối chiếu với các ranh giới bị ảnh hưởng cùng phiên bản sửa lỗi tương ứng trong phần affected_summary và remediation.
3. Với Archer C20 v5, xác minh đúng firmware theo khu vực vì TP-Link công bố các nhánh sửa lỗi riêng cho US và EU.
4. Sau khi cập nhật, kiểm tra lại firmware đã cài và đổi mật khẩu quản trị theo khuyến nghị của TP-Link.
5. Nếu có dữ liệu, rà soát nhật ký truy cập quản trị và telemetry mạng để tìm hoạt động quản trị hoặc thay đổi cấu hình bất thường. Đây chỉ là biện pháp giám sát phòng ngừa; TP-Link không cung cấp IOC hay mẫu log đặc hiệu, và việc không thấy dấu hiệu không chứng minh thiết bị an toàn.