セキュリティアドバイザリ：TP-Link Omadaデバイスにおける複数の脆弱性（CVE-2025-9291、CVE-2025-15544、CVE-2025-15627～CVE-2025-15631）

脆弱性および影響の説明：

TP-Link OmadaコントローラーおよびOmadaデバイスにおける、デバイスの導入、通信、クラウド接続、認証情報の取り扱いに関する一連の処理で、複数の脆弱性が確認されています。

CVE-2025-9291：Omadaクラウド通信における不適切な証明書検証

影響を受けるOmadaデバイスとクラウドコントローラー間の通信に、証明書検証の不備が存在します。提示された証明書が、接続先として想定されるクラウドコントローラーのホスト名に対応しているかどうかが適切に検証されないため、特定の条件下で証明書検証による保護を回避される可能性があります。

この脆弱性の悪用に成功した場合、影響を受けるデバイスとクラウドコントローラー間の通信を傍受または改ざんされる可能性があります。

CVSS v4.0スコア：7.7／高

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2025-15544：Omadaデバイスの導入時における認証情報の保護不備

Omadaデバイスの導入処理に、暗号化に関する脆弱性が存在します。デバイスの導入時に、サイト管理に関連する認証情報が、十分な保護を提供しない強度の低いハッシュアルゴリズムを使用して送信されます。

攻撃者がデバイスの導入に関連する認証通信の傍受に成功した場合、有効な認証情報を復元し、管理対象デバイスまたはコントローラーで管理される環境へ不正にアクセスできる可能性があります。

CVSS v4.0スコア：6.9／中

CVSS:4.0/AV:A/AC:H/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

CVE-2025-15627：Omada導入プロトコルの認証における暗号鍵のハードコード

Omadaのデバイス導入プロトコルに、暗号化に関する脆弱性が存在します。このプロトコルでは、デバイスの導入時にコントローラーと管理対象デバイス間の信頼関係を確立し、認証情報のやり取りを保護するために、ハードコードされた暗号鍵が使用されています。

攻撃者が信頼されたコントローラーまたは管理対象デバイスになりすまし、デバイスの導入に関連する機密性の高い通信へアクセスできる可能性があります。

CVSS v4.0スコア：6.9／中

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

CVE-2025-15628：Omadaデバイス通信における証明書のハードコード

影響を受けるOmadaデバイスでは、コントローラーと管理対象デバイス間の信頼関係を確立するために、複数の導入環境で共通して使用される組み込み証明書が使用されています。

攻撃者が組み込み証明書を入手した場合、信頼されたコントローラーまたはデバイスになりすまし、影響を受ける通信を傍受できる可能性があります。

CVSS v4.0スコア：8.2／高

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

CVE-2025-15629：Omada導入プロトコルにおけるセッション鍵生成の不備

Omadaのデバイス導入プロトコルに、暗号化に関する脆弱性が存在します。セッション鍵の生成に十分なランダム性がないため、コントローラーと管理対象デバイス間の通信を保護するセッション暗号鍵が予測される可能性があります。

攻撃者がデバイスの導入に関連する通信の傍受に成功した場合、セッション暗号鍵を復元し、影響を受ける通信を復号できる可能性があります。

CVSS v4.0スコア：6.9／中

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

CVE-2025-15630：Omadaのデバイス導入処理におけるプロビジョニングの競合状態

クラウドを使用したOmadaデバイスの導入処理に競合状態が存在します。正規のデバイスが登録を完了する前に、攻撃者がデバイスの導入処理へ介入し、本来は正規のデバイスへ送信されるプロビジョニング情報を受け取る可能性があります。

この脆弱性の悪用に成功した場合、正規のデバイスを対象としたプロビジョニング情報が漏えいする可能性があります。

CVSS v4.0スコア：5.8／中

CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N

CVE-2025-15631：Omadaデバイスにおける認証情報の保存方法の不備

影響を受けるOmadaデバイスに、暗号化に関する脆弱性が存在します。サイトの認証情報が、十分な保護を提供しない旧式のハッシュアルゴリズムを使用して保護されています。

攻撃者が保存された認証情報へアクセスした場合、有効な認証情報を復元し、影響を受けるデバイスまたは管理環境へ不正にアクセスできる可能性があります。

CVSS v4.0スコア：5.7／中

CVSS:4.0/AV:A/AC:H/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

影響を受ける製品／バージョンおよび修正：

推奨事項：

影響を受けるデバイスをご利用のお客様には、以下の対応を強く推奨します。

1. Omadaダウンロードセンターの案内に従い、ご利用の製品モデルに対応する最新のファームウェアをダウンロードして更新してください。

日本：ファームウェアのダウンロード | Omadaネットワークサポート

2. Omadaコントローラーと管理対象デバイスの両方を、利用可能な最新のファームウェアバージョンへ更新してください。

免責事項：

本アドバイザリは情報提供のみを目的としており、予告なく変更される場合があります。本情報は、いかなる種類の保証も伴わない「現状有姿」で提供されます。TP-Linkは、お客様に対し、利用可能なファームウェア更新を速やかに適用するか、本アドバイザリに記載された回避策を実施することを推奨します。記載された更新または緩和策が適用されていないデバイスやシステムには、引き続き脆弱性が存在する可能性があります。TP-Linkは、これらの更新を実施しなかったことに起因する損害または損失について、一切の責任を負いません。