Уведомление о безопасности: Множественные уязвимости в сетевых продуктах TP-Link, управляемых интернет-провайдерами (CVE-2025-30237 – CVE-2025-30241)

Обзор

В сетевых продуктах TP-Link Aginet было выявлено множество уязвимостей безопасности. Эти проблемы возникают из-за ненадлежащего обеспечения авторизации, небезопасной обработки конфиденциальных данных, небезопасной обработки символических ссылок и недостаточной проверки входных данных.

Эксплуатация этих уязвимостей требует сетевого доступа, а в некоторых случаях — действительных учётных данных пользователя для интерфейса управления устройством.

Описание уязвимостей и их последствий:

CVE-2025-30237: Обход аутентификации через нарушенный контроль доступа в веб-сервере

Затронутые устройства содержат недостаток в веб-интерфейсе управления, где проверки аутентификации не применяются последовательно на определённых конечных точках. Злоумышленник может отправлять специально сформированные запросы, чтобы обойти аутентификацию и напрямую вызвать привилегированную функциональность без действительных учётных данных. Эта проблема возникает из-за ненадлежащего обеспечения механизмов контроля доступа к чувствительным операциям.

Успешная эксплуатация может позволить неаутентифицированному злоумышленнику выполнять привилегированные операции и получить полный контроль над устройством.

Оценка CVSS v4.0: 8.7 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2025-30238: Повышение привилегий через ненадлежащую авторизацию в управлении пользователями

Недостаточная проверка авторизации позволяет аутентифицированным пользователям с низкими привилегиями выполнять операции с более высокими привилегиями.

Злоумышленник может выполнять административные действия, такие как создание привилегированных учётных записей или изменение критических параметров конфигурации.

Оценка CVSS v4.0: 8.6 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2025-30239: Раскрытие конфиденциальных данных из-за жёстко закодированных криптографических ключей

Использование жёстко закодированных криптографических ключей, встроенных в прошивку для защиты конфиденциальных данных конфигурации, может позволить злоумышленнику, имеющему доступ к хранилищу устройства, восстановить ключи и расшифровать сохранённые данные.

Успешная эксплуатация может позволить доступ к расшифрованным конфиденциальным данным конфигурации, включая учётные данные и информацию, связанную со службами.

Оценка CVSS v4.0: 8.5 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

CVE-2025-30240: Произвольное чтение файлов через ненадлежащую обработку symlink в пути доступа USB HTTPS

Затронутые устройства не проверяют должным образом символические ссылки, созданные на внешних USB-накопителях. Разместив специально сформированную символическую ссылку на поддерживаемом носителе, злоумышленник может заставить систему разрешить эту ссылку.

Успешная эксплуатация может позволить несанкционированный доступ на чтение к конфиденциальным файлам в файловой системе устройства.

Оценка CVSS v4.0: 5.1 / Средний

CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

CVE-2025-30241: Внедрение команд ОС в веб-интерфейсе

Некоторые компоненты веб-интерфейса не проверяют и не очищают предоставляемый пользователем ввод должным образом перед передачей его в функции выполнения команд системного уровня. Аутентифицированный злоумышленник из соседней сети может внедрить специально сформированный ввод для выполнения произвольных команд операционной системы с повышенными привилегиями.

Успешная эксплуатация может позволить выполнение произвольных системных команд, что потенциально может привести к полной компрометации устройства.

Оценка CVSS v4.0: 8.6 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Затронутые устройства включают специфичные для ISP кастомизированные варианты, например региональные или операторские версии, развёрнутые и управляемые поставщиками услуг. Таблица ниже включает страновые универсальные версии.

Примечания:

• Прошивка распространяется через механизмы обновления, управляемые ISP.
• Подробная применимость на уровне SKU варьируется в зависимости от развёртывания у каждого ISP и публично не перечисляется.
• “X” указывает, что модель включает варианты, затронутые соответствующими уязвимостями. Применимость основана на анализе универсальной модели, поскольку варианты для конкретных ISP могут различаться.

Рекомендации:

Для затронутых устройств, работающих на прошивке, управляемой ISP, мероприятия по устранению будут координироваться через соответствующих Internet Service Providers (ISPs).

Обновлённая прошивка может быть доставлена автоматически или предоставлена через поддерживаемые механизмы обновления устройств, такие как интерфейс управления устройством или связанные приложения управления, в зависимости от метода развёртывания ISP.

Конечным пользователям следует проверить интерфейс управления своим устройством или связанное приложение управления, чтобы определить, доступно ли обновление прошивки. Если обновление недоступно или им требуется дополнительная информация о доступности обновления, им следует обратиться к своему ISP за помощью.

Образы прошивки для затронутых вариантов, специфичных для ISP, могут быть недоступны для прямого скачивания публично.

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно установить доступные обновления прошивки или применить описанные в данном уведомлении обходные меры. Устройства/системы, не обновлённые или не защищённые описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.