Lộ thông tin tài khoản không cần xác thực trong các bộ điều khiển TP-Link Omada

Một lỗ hổng tiết lộ thông tin đã được xác định trong Omada Controller. Một API endpoint vốn dành cho việc khởi tạo Controller vẫn có thể truy cập sau khi quá trình hoàn tất và có thể tiết lộ thông tin liên quan đến tài khoản cho người dùng từ xa không cần xác thực. Khai thác thành công có thể cho phép kẻ tấn công truy vấn endpoint bị ảnh hưởng từ xa, qua đó hỗ trợ liệt kê người dùng và các cuộc tấn công tiếp theo nhằm vào tài khoản quản trị.

• Omada Software Controller cho Windows và Linux: các phiên bản thấp hơn 6.3.0.45 được xác định là bị ảnh hưởng; TP-Link xác định bản sửa lỗi là 6.3.0.45.
• OC200 V1: các phiên bản thấp hơn (UN)_V1_1.42.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V1_1.42.10 Build 20260825.
• OC200 v2: các phiên bản thấp hơn (UN)_V2_2.27.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V2_2.27.10 Build 20260825.
• OC200 v3: các phiên bản thấp hơn (UN)_V3_3.4.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V3_3.4.10 Build 20260825.
• OC220 v1: các phiên bản thấp hơn (UN)_V1_1.7.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V1_1.7.10 Build 20260825.
• OC220 v2: các phiên bản thấp hơn (UN)_V2_2.6.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V2_2.6.10 Build 20260825.
• OC300 v1: các phiên bản thấp hơn (UN)_V1_1.36.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V1_1.36.10 Build 20260825.
• OC400 v1: các phiên bản thấp hơn (UN)_V1_1.14.10 Build 20260825 bị ảnh hưởng; bản sửa lỗi là (UN)_V1_1.14.10 Build 20260825.

Một bản ghi NVD được cung cấp qua GCVE từng hiển thị ngưỡng khác cho Omada Software Controller, thấp hơn 6.3.0.44. Advisory của TP-Link và dữ liệu normalized được cung cấp đều xác định 6.3.0.45 là bản sửa lỗi, vì vậy nên dùng ngưỡng của vendor khi đánh giá phơi nhiễm. Trạng thái của các nhánh phát hành song song hoặc các phiên bản không được liệt kê vẫn chưa được xác nhận.

TP-Link Omada Software Controller và các hardware controller được liệt kê có một API endpoint dành cho quá trình khởi tạo Controller nhưng vẫn truy cập được sau khi quá trình này hoàn tất. Người tấn công từ xa không cần xác thực có thể gửi truy vấn đến endpoint này và nhận thông tin liên quan đến tài khoản. Đây là dạng phơi lộ thông tin nhạy cảm cho tác nhân không được phép, phù hợp với CWE-200. Mô tả hiện có không chỉ rõ đường dẫn endpoint, HTTP method, tham số yêu cầu, định dạng phản hồi hoặc chính xác những trường dữ liệu nào bị tiết lộ. Việc endpoint vẫn hoạt động sau khởi tạo cho thấy khả năng có thiếu sót trong việc vô hiệu hóa hoặc kiểm soát quyền truy cập theo trạng thái, nhưng chi tiết triển khai này chưa được xác nhận.

Lỗ hổng có thể bị khai thác qua mạng từ xa mà không cần xác thực hoặc tương tác của người dùng. Bản ghi cung cấp đánh giá rằng độ phức tạp tấn công thấp, nhưng không công bố request, đường dẫn hoặc chuỗi khai thác cụ thể. Bản ghi được cung cấp không xác định public exploit và không đánh dấu sản phẩm là đang bị khai thác đã biết; phần enrichment của CISA được trả về trong quá trình tra cứu ghi nhận trạng thái exploitation là none. Trạng thái này không chứng minh rằng không có hoạt động chưa được báo cáo.

Kết quả trực tiếp được xác nhận là lộ thông tin liên quan đến tài khoản, với tác động chính đến tính bí mật. Dữ liệu bị lộ có thể hỗ trợ user enumeration và làm tăng khả năng nhắm mục tiêu vào tài khoản quản trị. Lỗ hổng không được mô tả là tạo quyền thay đổi cấu hình, thực thi mã hoặc làm mất tính sẵn sàng của controller. Bản ghi cũng không xác nhận việc tiết lộ mật khẩu, token, thông tin xác thực đầy đủ hoặc việc chiếm quyền tài khoản. Do endpoint có thể bị truy vấn từ xa mà không cần xác thực, hệ thống có giao diện quản trị phơi ra ngoài phạm vi tin cậy cần được ưu tiên kiểm tra.

Việc lộ thông tin liên quan đến tài khoản có thể giúp người tấn công lập danh sách người dùng hoặc tài khoản quản trị tồn tại trong hệ thống. Thông tin này có thể làm tăng hiệu quả của các cuộc tấn công tiếp theo nhằm vào giao diện quản trị, chẳng hạn như password spraying hoặc phishing, nhưng bản ghi không xác nhận các cuộc tấn công đó đã xảy ra. Lỗ hổng không được mô tả là cho phép thay đổi dữ liệu hoặc làm gián đoạn dịch vụ trực tiếp. Rủi ro thực tế cao hơn nếu giao diện quản trị của controller có thể truy cập từ mạng không tin cậy.

1. Cập nhật theo đúng nhánh sản phẩm: nâng Omada Software Controller lên 6.3.0.45; nâng OC200 V1 lên (UN)_V1_1.42.10 Build 20260825; OC200 v2 lên (UN)_V2_2.27.10 Build 20260825; OC200 v3 lên (UN)_V3_3.4.10 Build 20260825; OC220 v1 lên (UN)_V1_1.7.10 Build 20260825; OC220 v2 lên (UN)_V2_2.6.10 Build 20260825; OC300 v1 lên (UN)_V1_1.36.10 Build 20260825; và OC400 v1 lên (UN)_V1_1.14.10 Build 20260825.
2. Thực hiện cập nhật theo hướng dẫn trong Download Center của TP-Link và xác nhận sau cập nhật rằng đúng model, hardware revision và nhánh phần mềm đã được xử lý.
3. Nếu chưa thể cập nhật ngay, giảm khả năng truy cập từ mạng không tin cậy đến giao diện quản trị như một biện pháp phòng ngừa. Đây là biện pháp giảm phơi nhiễm, không phải workaround được TP-Link xác nhận trong advisory.
4. Không suy ra rằng một bản sửa lỗi trên một nhánh đã bao phủ các nhánh phần cứng hoặc phần mềm khác; cần kiểm tra từng sản phẩm theo danh sách ở trên.

1. Kiểm kê các triển khai TP-Link Omada Software Controller trên Windows và Linux, cùng các hardware controller OC200, OC220, OC300 và OC400.
2. Đối chiếu phiên bản phần mềm hoặc firmware đang chạy với các ngưỡng ảnh hưởng và bản sửa lỗi chính xác trong mục affected_summary.
3. Xác định những giao diện quản trị có thể truy cập từ mạng không tin cậy và kiểm tra, theo tài liệu của TP-Link, liệu API phục vụ khởi tạo Controller còn có thể được truy cập sau khi khởi tạo hoàn tất hay không.
4. Rà soát log reverse proxy, firewall và controller để tìm các truy vấn chưa xác thực đến API khởi tạo hoặc các mẫu truy vấn lặp lại có thể hỗ trợ user enumeration. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được vendor xác nhận.
5. Advisory được tra cứu không cung cấp đường dẫn endpoint, chữ ký log hoặc IOC cụ thể; việc không thấy sự kiện trong log không chứng minh hệ thống an toàn.