보안 권고사항: TP-Link 제로 터치 프로비저닝 (ZTP) 기술 관련 연구에 대한 대응

개요

TP‑Link는 Forescout Research – Vedere Labs가 Black Hat USA 2026 및 DEF CON 34에서 발표할 일정에 있는, 특정 TP‑Link 장치 관리 및 제로 터치 프로비저닝(ZTP) 기술에 영향을 미치는 여러 취약점 및 보안 관찰 사항에 대한 보안 연구 내용을 인지하고 있습니다.

이 연구에서는 Omada 생태계의 일부 및 일부 TP‑Link 제품군 전반에 걸쳐 사용되는 관련 기술에 영향을 미치는 취약점에 대해 다루고 있습니다. TP‑Link는 보고된 문제를 조사하고 해결하기 위해 조정된 취약점 공개 절차를 통해 연구진과 협력했습니다. 취약점이 내부적으로 검증되고 수정됨에 따라, 조정된 공개 절차 전반에 걸쳐 여러 단계에 걸쳐 보안 업데이트 및 완화 조치가 배포되었습니다. 해당 보안 권고사항은 연구 결과가 공개되기 전 또는 공개와 동시에 게시되었습니다.

본 권고문은 연구에서 논의된 결과에 대한 종합적인 개요를 제공하며, CVE 식별자가 할당된 취약점에 대한 개별 보안 권고사항으로 연결되는 링크를 포함하고 있습니다.

연구 결과 요약

이 연구에서는 다음 사항과 관련된 여러 문제를 다루고 있습니다:

• 장치 연동 및 프로비저닝 워크플로우
• 인증 및 자격증명 처리
• 암호화 신뢰 관계 및 인증서 유효성 검사
• 장치와 컨트롤러 간의 통신
• 클라우드 및 컨트롤러 관리 인터페이스

연구진이 설명한 공격 시나리오를 구현하기 위해서는 여러 조건이 복합적으로 충족되어야 하는 사례들이 있었습니다. 보고된 공격 체인은 일반적으로 단일 취약점에 의존하기보다는 여러 취약점을 성공적으로 악용해야 합니다.

개별 보안 권고사항을 통해 해결된 취약점

TP-Link는 다음 CVE에 대해 개별 보안 권고사항을 발표했거나 발표 중입니다:

이전에 발표된 권고 사항 (CVE-2025-7850, CVE-2025-7851, CVE-2025-9289, CVE-2025-9290, CVE-2025-9292, CVE-2025-9293)

• Omada 라우터의 명령어 주입 및 루트 액세스 취약점에 대한 성명 (CVE-2025-7850 및 CVE-2025-7851) | Omada Network 지원
• Omada 컨트롤러의 크로스사이트 스크립팅(XSS) 취약점(CVE-2025-9289) 및 Omada 컨트롤러, 라우터, 액세스 포인트의 인증 취약점(CVE-2025-9290)에 대한 보안 권고사항
• Omada Cloud 컨트롤러의 허용성 높은 웹 보안 정책으로 인한 Cross Origin 액세스 제한 우회 및 모바일 애플리케이션의 인증서 검증 취약점으로 인한 중간자 공격에 관한 보안 권고사항 (CVE-2025-9292, CVE-2025-9293)

새로 게시된 권고 사항

• CVE‑2025‑9291
• CVE‑2025‑15544
• CVE‑2025‑15627
• CVE‑2025‑15628
• CVE-2025-15629
• CVE-2025-15630
• CVE-2025-15631

해당 모델, 영향을 받는 펌웨어 버전, 심각도 등급, 해결 방법에 대한 안내는 각 권고문을 참조하시기 바랍니다.

추가 보안 조사 결과

또한 이 연구에서는 CVE 절차와 별도로 평가된 몇 가지 조사 결과를 다루고 있습니다:

이 항목들은 TP‑Link의 출시 후 모니터링 및 제품 보안 평가 프로세스의 일환으로 검토되었습니다. 연구 보고서에서 다루고 있지만, CVE 식별자는 할당되지 않았습니다. TP‑Link는 정보의 완전성과 투명성을 위해 이 항목들을 여기에 포함시켰습니다.

영향을 받는 제품

본 연구에서 논의된 취약점은 주로 Omada 생태계 및 관련 기술의 일부에 영향을 미치며, 여기에는 다음이 포함됩니다:

• Omada 컨트롤러
• Omada 라우터
• Omada 스위치
• Omada 액세스 포인트
• Omada OLT 플랫폼
• Omada 클라우드 서비스
• TP-Link 모바일 애플리케이션
• 공유 프로비저닝 또는 신뢰 구성 요소를 사용하는 일부 관련 플랫폼 및 제품군

모델별 구체적인 정보를 확인하시려면 개별 보안 권고사항 및 Omada 다운로드 센터를 참조하시기 바랍니다.

고객에 미치는 영향

이 연구는 장치 온보딩 워크플로우, 컨트롤러 신뢰 관계, 자격증명 처리, 클라우드 통신 및 관리 인터페이스에 영향을 미치는 여러 취약점의 조합과 관련된 잠재적 공격 시나리오를 보여줍니다. 연구진이 설명한 공격 시나리오에서 공격이 성공하려면 단일 문제를 개별적으로 악용하기보다는 여러 취약점을 연쇄적으로 연결해야 합니다.

개별 취약점의 실질적인 영향은 배포 아키텍처, 컨트롤러 유형, 공격자의 네트워크 위치, 제품 설정, 그리고 공격 시점에 영향을 받는 장치가 프로비저닝 또는 관리 작업을 수행 중인지 여부에 따라 달라질 수 있습니다. 이 연구에서 설명된 일부 시나리오는 제한된 연동 또는 온보딩 워크플로우, 특정 네트워크 접근 조건, 혹은 장치와 컨트롤러 간의 통신을 가로채거나 조작할 수 있는 능력에 의존하기도 합니다.

고객은 취약점별 영향 정보를 확인하기 위해 개별 CVE 권고 사항을 검토하고, 영향을 받는 컨트롤러, 장치, 애플리케이션 및 클라우드 관리 환경에 사용 가능한 모든 업데이트가 적용되었는지 확인해야 합니다.

대응 및 수정 조치

TP‑Link는 고객에게 다음을 권장합니다:

1. 영향을 받는 모든 장치를 사용 가능한 최신 펌웨어 버전으로 업데이트하십시오.
2. 모든 Omada 컨트롤러 및 연결된 관리 소프트웨어를 업데이트하십시오.
3. 영향을 받는 모바일 애플리케이션을 사용 가능한 최신 버전으로 업데이트하십시오.
4. 가능한 경우 TP-Link 클라우드 계정에서 다단계 인증을 활성화하십시오.
5. 강력하고 고유한 관리자 자격증명을 사용하십시오.
6. 적절한 경우 자격증명, VPN 비밀번호 및 인증서를 주기적으로 변경하십시오.
7. 네트워크 분할 및 다층 방어 모범 사례를 따르십시오.
8. 제품 펌웨어 및 소프트웨어 다운로드 센터를 확인하고 권장되는 모든 보안 업데이트를 적용하십시오.

보안에 대한 TP-Link의 약속

TP-Link는 보안 연구 커뮤니티의 노력에 감사드리며, 책임감 있고 조율된 취약점 공개를 중요하게 생각합니다. 당사는 보고된 취약점을 조사하고, 적절한 완화 조치를 개발하며, 고객에게 시기적절한 보안 지침을 제공하기 위해 최선을 다하고 있습니다.

감사의 말씀

TP‑Link는 이러한 문제를 보고하고 조정된 공개 절차를 통해 협력해 주신 Forescout Research – Vedere Labs(Stanislav Dashevskyi 및 Francesco La Spina 포함)에 감사를 표합니다. 보고된 내용은 TP‑Link의 취약점 처리 절차 및 정책에 따라 조사 및 해결되었습니다.

주의 사항:

본 권고 사항은 정보 제공 목적으로만 제공되며, 사전 고지 없이 내용이 변경될 수 있습니다. 해당 내용은 관련 정보를 사실 그대로 전달할 뿐이며, 어떠한 형태의 보증도 제공하지 않습니다. TP-Link는 가용한 펌웨어 업데이트를 즉시 적용하거나 이 공지사항에 명시된 해결 방법을 즉시 실행할 것을 권장합니다. 상기 내용대로 업데이트나 보안 조치를 실행하지 않으면 장치 또는 시스템에 취약점이 남을 수 있습니다. 이 공지사항의 권고 조치를 따르지 않아 발생하는 결과의 책임은 TP-Link가 아닌 사용자에게 귀속됩니다.

이 문서에는 기계 번역이 적용되었으며, 정확한 내용을 확인하려면 원본 영문 문서를 참고하시기 바랍니다.