Уведомление о безопасности: Ответ на исследование, касающееся технологий TP Link Zero Touch Provisioning (ZTP).

Обзор

Компании TP‑Link известно об исследовании безопасности, проведенном Forescout Research – Vedere Labs и запланированном для презентации на Black Hat USA 2026 и DEF CON 34, касающемся множественных уязвимостей и наблюдений в области безопасности, затрагивающих определенные технологии управления устройствами TP‑Link и технологии Zero‑Touch Provisioning (ZTP).

В исследовании рассматриваются уязвимости, затрагивающие части экосистемы Omada и смежные технологии, используемые в отдельных семействах продуктов TP‑Link. TP‑Link сотрудничала с исследователями в рамках скоординированного процесса раскрытия уязвимостей для изучения и устранения сообщенных проблем. Обновления безопасности и меры по смягчению последствий выпускались поэтапно в течение всего скоординированного процесса раскрытия, по мере внутренней проверки и устранения уязвимостей. Соответствующие уведомления о безопасности были опубликованы до или одновременно с публичным раскрытием исследования.

Настоящее уведомление содержит сводную информацию о результатах, обсуждаемых в исследовании, и ссылки на отдельные уведомления о безопасности для уязвимостей, которым присвоены идентификаторы CVE.

Сводка результатов

В исследовании описываются множественные проблемы, связанные с:

• Процессами принятия и подготовки устройств
• Аутентификацией и обработкой учетных данных
• Криптографическими доверительными отношениями и проверкой сертификатов
• Связью между устройствами и контроллерами
• Облачными интерфейсами и интерфейсами управления контроллерами

Для достижения сценариев атак, описанных исследователями, требовалось сочетание нескольких условий. Сообщенные цепочки атак обычно требуют успешной эксплуатации множества слабостей, а не полагаются на одну уязвимость.

Уязвимости, устраненные с помощью отдельных уведомлений о безопасности

TP‑Link выпустила или выпускает отдельные уведомления о безопасности для следующих CVE:

Ранее опубликованные уведомления (CVE-2025-7850, CVE-2025-7851, CVE-2025-9289, CVE-2025-9290, CVE-2025-9292, CVE-2025-9293)

• Заявление об уязвимостях внедрения команд и получения root-доступа на шлюзах Omada (CVE-2025-7850 и CVE-2025-7851) | Поддержка Omada Network
• Уведомление о безопасности об уязвимости межсайтового скриптинга на контроллерах Omada (CVE-2025-9289) и слабости аутентификации на контроллерах, шлюзах и точках доступа Omada (CVE-2025-9290) | Поддержка Omada Network
• Уведомление о безопасности о разрешительной политике веб-безопасности, позволяющей обойти контроль междоменного доступа на облачных контроллерах Omada, и недостаточной проверке сертификатов в нескольких мобильных приложениях, позволяющей перехват типа «человек посередине» (CVE-2025-9292 и CVE-2025-9293) | TP-Link

Недавно опубликованные уведомления

• CVE‑2025‑9291
• CVE‑2025‑15544
• CVE‑2025‑15627
• CVE‑2025‑15628
• CVE‑2025‑15629
• CVE‑2025‑15630
• CVE‑2025‑15631

Клиентам следует обращаться к соответствующим отдельным уведомлениям для получения информации о затронутых моделях, затронутых версиях прошивок, уровнях серьезности и рекомендациях по устранению.

Дополнительные результаты в области безопасности

В исследовании также рассматриваются несколько результатов, которые оценивались отдельно от процесса CVE:

Эти пункты были рассмотрены в рамках процесса мониторинга после выпуска и оценки безопасности продуктов TP‑Link. Хотя они обсуждаются в исследовании, им не были присвоены идентификаторы CVE. TP‑Link включает их здесь для полноты и прозрачности.

Затронутые продукты

Результаты, обсуждаемые в исследовании, в первую очередь затрагивают части экосистемы Omada и смежные технологии, включая отдельные:

• Контроллеры Omada
• Шлюзы Omada
• Коммутаторы Omada
• Точки доступа Omada
• Платформы OLT Omada
• Облачные сервисы Omada
• Мобильные приложения TP‑Link
• Отдельные смежные платформы и семейства продуктов, использующие общие компоненты подготовки или доверия

Клиентам следует обращаться к отдельным уведомлениям о безопасности и центру загрузок Omada для получения информации по конкретным моделям.

Влияние на клиентов

Исследование демонстрирует потенциальные сценарии атак, включающие комбинации множественных уязвимостей, затрагивающих процессы регистрации устройств, доверительные отношения контроллеров, обработку учетных данных, облачные коммуникации и интерфейсы управления. Успешная компрометация в описанных исследователями сценариях атак зависит от объединения множества уязвимостей, а не от эксплуатации отдельной проблемы изолированно.

Практическое влияние отдельной уязвимости может варьироваться в зависимости от архитектуры развертывания, типа контроллера, сетевого положения злоумышленника, конфигурации продукта и того, находятся ли затронутые устройства в процессе подготовки или управления в момент атаки. Некоторые сценарии, описанные в исследовании, также полагаются на ограниченные процессы принятия или регистрации, определенные условия сетевого доступа или возможность перехватывать или влиять на связь между устройствами и контроллерами.

Клиентам следует ознакомиться с отдельными уведомлениями CVE для получения информации о влиянии конкретных уязвимостей и убедиться, что все доступные обновления применены к затронутым контроллерам, устройствам, приложениям и облачным средам.

Смягчение последствий и устранение

TP‑Link рекомендует клиентам:

1. Обновить все затронутые устройства до последних доступных версий прошивок.
2. Обновить все контроллеры Omada и соответствующее программное обеспечение управления.
3. Обновить затронутые мобильные приложения до последних доступных версий.
4. Включить многофакторную аутентификацию для облачных учетных записей TP‑Link, когда это доступно.
5. Использовать надежные и уникальные административные учетные данные.
6. При необходимости сменить учетные данные, секреты VPN и сертификаты.
7. Следовать лучшим практикам сегментации сети и эшелонированной защиты.
8. Просматривать центр загрузки прошивок и программного обеспечения и применять все рекомендуемые обновления безопасности.

Приверженность TP‑Link безопасности

TP‑Link ценит усилия сообщества исследователей безопасности и важность ответственного скоординированного раскрытия уязвимостей. Мы остаемся приверженными расследованию сообщенных уязвимостей, разработке соответствующих мер по смягчению последствий и предоставлению своевременных рекомендаций по безопасности клиентам.

Благодарность

TP‑Link благодарит Forescout Research – Vedere Labs, включая Станислава Дашевского и Франческо Ла Спину, за сообщение об этих проблемах и сотрудничество в рамках скоординированного процесса раскрытия. Сообщенные результаты были изучены и устранены в соответствии с процессами и политиками обработки уязвимостей TP‑Link.

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно применять доступные обновления прошивки или внедрять задокументированные обходные решения, как указано в данном уведомлении. Устройства/системы, которые не обновлены или не защищены описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или потери, возникшие в результате невыполнения таких обновлений.