В данном бюллетене описывается, как вышестоящая уязвимость MongoDB «MongoBleed» (CVE‑2025‑14847) затрагивает контроллеры TP‑Link Omada, условия, при которых возможно заражение, и рекомендуемые шаги по устранению.
Описание уязвимости и её воздействие:
MongoBleed (CVE‑2025‑14847) — это критическая уязвимость раскрытия памяти без аутентификации в обработке MongoDB сжатых zlib сетевых сообщений. Данный вышестоящий недостаток может привести к утечке неинициализированной памяти кучи, потенциально раскрывая конфиденциальную информацию.
Оценка CVSS v4.0: 8.7 / Высокая
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Затрагивает ли уязвимость контроллеры Omada?
Контроллеры Omada затрагиваются только при определённых условиях развёртывания.
Вы МОЖЕТЕ быть затронуты, если ЛЮБОЕ из следующих условий верно:
- Контроллер развёрнут в режиме кластера.
- Привязка MongoDB была изменена вручную в файле omada.properties путём изменения параметра «eap.mongod.host» с значения по умолчанию 127.0.0.1 на более широкий или внешне доступный интерфейс.
- Для Программных контроллеров на Linux вы используете самостоятельно развёрнутый MongoDB, и
- Его версия уязвима, и
- MongoDB прослушивает внешний интерфейс.
Если НИ ОДНО из этих условий не применяется:
- Риск воздействия ограничен, и стандартные развёртывания НЕ уязвимы для эксплуатации.
Облачные контроллеры НЕ затронуты.
Затронутые версии:
|
Продукты |
Затронутые версии |
|
Аппаратные контроллеры |
|
|
OC200 V1 |
< OC200_V1_1.38.9 / Omada SDN 6.1.0 |
|
OC200 V2 |
< OC200_V2_2.23.9 / Omada SDN 6.1.0 |
|
OC220 V1 |
< OC220_V1_1.3.9 / Omada SDN 6.1.0 |
|
OC220 V2 |
< OC220_V2_2.2.5 / Omada SDN 6.1.0 |
|
OC300 V1 |
< OC300_V1_1.32.9 / Omada SDN 6.1.0 |
|
OC400 V1 |
< OC400_V1_1.10.9 / Omada SDN 6.1.0 |
|
Программные контроллеры |
|
|
Сетевое приложение Omada (Windows) |
< v6.1.0.18 |
|
Сетевое приложение Omada (Linux) |
Зависит от самостоятельно развёрнутого MongoDB |
Сводка условий воздействия:
Аппаратные контроллеры или программные контроллеры на Windows
- Не могут быть использованы при стандартных настройках развёртывания.
- Ваше развёртывание может быть затронуто если:
- Включён режим кластера, ИЛИ
- Параметр eap.mongod.host был изменён вручную для внешнего доступа к MongoDB.
Программные контроллеры на Linux
- Влияние зависит от версии самостоятельно развёрнутого MongoDB.
- Вы должны проверить:
- Версию MongoDB, которую вы установили
- Доступен ли MongoDB извне
- Включено ли сжатие zlib
Рекомендации и устранение:
-
Обновление до исправленной версии (рекомендуется)
Если вы используете аппаратные контроллеры, развёрнутые в режиме кластера, обновление настоятельно рекомендуется.
-
Следующие предрелизные сборки Omada SDN 6.1.0 содержат исправление:
Аппаратные контроллеры:
OC200(UN)_V1_1.38.9_pre-release > Встроенный контроллер Omada SDN 6.1.0
OC200(UN)_V2_2.23.9_pre-release > Встроенный контроллер Omada SDN 6.1.0
OC220(UN)_V1_1.3.9_pre-release > Встроенный контроллер Omada SDN 6.1.0
OC220(UN)_V2_2.2.5_pre-release > Встроенный контроллер Omada SDN 6.1.0
OC300(UN)_V1_1.32.9_pre-release > Встроенный контроллер Omada SDN 6.1.0
OC400(UN)_V1_1.10.9_pre-release (Встроенный контроллер Omada SDN 6.1.0)
Программные контроллеры:
Omada_Network_Application_v6.1.0.18 Windows (Windows 10/11/Server, рекомендуется 64-разрядная)
Omada_Network_Application_v6.1.0.18_linux_x64.tar.gz
Omada_Network_Application_v6.1.0.18_linux_x64.deb
Вы также можете посетить страницы Бизнес-сообщества для получения последних предрелизных версий прошивки.
-
Временные меры (если вы пока не можете обновиться):
Добавьте следующее в параметр eap.mongod.args в файле properties/omada.properties:
--networkMessageCompressors snappy
Это отключает сжатие zlib и предотвращает эксплуатацию уязвимости MongoBleed.
- Контроллеры на Linux с самостоятельно развёрнутым MongoDB:
Вам необходимо обновить MongoDB, следуя официальным указаниям MongoDB:
https://jira.mongodb.org/browse/SERVER-115508
Исправленные версии MongoDB включают:
8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, 4.4.30
Примечания по обновлению:
- Обновления минорных версий (например, 7.0.14 → 7.0.28) → Проблем с совместимостью нет.
- Обновления между мажорными версиями (например, 3.6 → 4.4) → Следуйте дополнительным шагам, указанным ниже:
Обратитесь к FAQ по обновлению Omada за инструкциями
https://www.omadanetworks.com/kz/support/faq/4398/
https://www.omadanetworks.com/kz/support/faq/4160/
Отказ от ответственности:
Если вы не предпримете все рекомендуемые действия, данная уязвимость сохранится. TP-Link не может нести ответственности за последствия, которых можно было бы избежать, следуя данному бюллетеню.
