Проблеми с автентикацията и firmware сигурността
Компанията TP-Link публикува спешни обновления за сигурност, засягащи серията рутери TP-Link Archer NX, включително моделите NX200, NX210, NX500 и NX600. Най-сериозният проблем, проследяван като CVE-2025-15517, позволява заобикаляне на автентикацията и изпълнение на привилегировани действия без необходимите права.
Уязвимостта произтича от липсваща проверка за автентикация в HTTP сървъра на устройствата, което дава възможност на атакуващите да достъпват чувствителни CGI endpoints. Това на практика означава, че външен нападател може да извършва административни операции, включително качване на нов firmware и промяна на конфигурацията, без да се идентифицира.
Допълнителни уязвимости увеличават риска
Освен критичния проблем, TP-Link адресира и други сериозни слабости. Сред тях е CVE-2025-15605, свързана с използването на hardcoded криптографски ключ в механизма за конфигурация. Тази слабост позволява на автентикирани потребители да декриптират конфигурационни файлове, да ги модифицират и отново да ги криптират, без да бъдат засечени.
Допълнително са отстранени и две уязвимости за command injection – CVE-2025-15518 и CVE-2025-15519, които позволяват изпълнение на произволни команди при наличие на администраторски достъп. В комбинация, тези слабости създават условия за пълен компромис на устройството.
Реален риск и история на експлоатация
Производителят препоръчва незабавно инсталиране на последните firmware версии, подчертавайки, че неизпълнението на тези действия оставя устройствата уязвими. Подобни предупреждения не са формални – CISA вече е включила множество уязвимости на TP-Link в каталога си Known Exploited Vulnerabilities.
Сред тях са CVE-2023-50224 и CVE-2025-9377, които се експлоатират от ботнета Quad7 за компрометиране на уязвими устройства. Още по-тревожно е, че по-стари уязвимости като CVE-2015-3035 продължават да се използват в реални атаки години след откриването им.
Натиск от регулатори и институции
Сигурността на продуктите на TP-Link е под засилен контрол и от регулаторни органи. Главният прокурор на Тексас, Кен Пакстън, заведе дело срещу компанията, обвинявайки я в подвеждащи твърдения относно сигурността на нейните устройства и допускане на експлоатация от държавно подкрепени хакерски групи.
Паралелно с това, Federal Communications Commission актуализира своя списък с ограничения, като включи потребителски рутери, произведени извън САЩ, позовавайки се на неприемлив риск за националната сигурност. Тази мярка на практика ограничава продажбата на определени устройства на американския пазар.
