Komunikat bezpieczeństwa dotyczący narażenia Kontrolera Omada na podatność MongoBleed (CVE-2025-14847)

Ten komunikat opisuje jak podatność upstream MongoDB “MongoBleed” (CVE‑2025‑14847) wpływa na Kontrolery TP‑Link Omada, warunki pod którymi podatność może wystąpić i zalecane kroki remediacji.

Opis podatności bezpieczeństwa i jej wpływ:

MongoBleed (CVE‑2025‑14847) jest krytyczną podatnością nieuwierzytelnionego ujawnienia pamięci w obsłudze skompresowanych komunikatów sieciowych zlib MongoDB. Ta niedoskonałość upstream może prowadzić do wycieku niezainicjowanego stosu pamięci, potencjalnie powodując wyciek informacji wrażliwych.

CVSS v4.0 Wynik: 8.7 / Wysoki

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Czy dotyczy to Kontrolerów Omada?

Podatność dotyczy kontrolerów Omada tylko w szczególnych warunkach wdrożenia.

MOŻESZ być objęty tą sytuacją, jeśli spełniony jest KTÓRYKOLWIEK z poniższych warunków:

• Kontroler jest wdrożony w trybie klastra.
• Powiązanie MongoDB zostało ręcznie zmodyfikowane w omada.properties poprzez zmianę “eap.mongod.host” z domyślnego 127.0.0.1 na większy lub osiągalny z zewnątrz interfejs.
• W przypadku Kontrolerów programowych Linux, gdy korzystasz z samodzielnie wdrożonego MongoDB oraz
  • Wersję dotyczy podatność
  • i MongoDB nasłuchuje na zewnętrznym interfejsie.

Jeśli ŻADEN z tych warunków nie ma zastosowania:

• Ryzyko ekspozycji jest ograniczone, a domyślne wdrożenia są niemożliwe do wykorzystania.

Kontrolery oparte na Chmurze NIE są dotknięte tą podatnością.

Podsumowanie warunków podatności:

Kontrolery sprzętowe lub Kontrolery programowe dla systemu Windows

• Niemożliwe do wykorzystania w domyślnych ustawieniach wdrożenia.
• Twoje wdrożenie może być objęte podatnością jeśli:
  • Tryb klastra jest włączony LUB
  • eap.mongod.host został ręcznie zmieniony, aby wystawić MongoDB na zewnątrz.

Kontrolery programowe dla systemu Linux

• Wpływ zależy od samodzielnie wdrożonej wersji MongoDB.
• Należy sprawdzić:
  • Zainstalowaną wersję MongoDB
  • Czy MongoDB jest wystawione na zewnątrz
  • Czy kompresja zlib jest włączona

Zalecenia i remediacja:

1. Zaktualizuj do poprawionej wersji (zalecane)

Jeśli korzystasz z kontrolerów sprzętowych wdrożonych w trybie klastra, wtedy aktualizacja jest stanowczo zalecana.

2. Następujące buildy pre-release Omada SDN 6.1.0 zawierają poprawkę:

Kontrolery sprzętowe:

OC200(UN)_V1_1.38.9_pre-release > Wbudowane w Omada SDN Controller 6.1.0

OC200(UN)_V2_2.23.9_pre-release > Wbudowane w Omada SDN Controller 6.1.0

OC220(UN)_V1_1.3.9_pre-release > Wbudowane w Omada SDN Controller 6.1.0

OC220(UN)_V2_2.2.5_pre-release > Wbudowane w Omada SDN Controller 6.1.0

OC300(UN)_V1_1.32.9_pre-release > Wbudowane w Omada SDN Controller 6.1.0

OC400(UN)_V1_1.10.9_pre-release Wbudowane w Omada SDN Controller 6.1.0

Kontrolery programowe:

Omada_Network_Application_v6.1.0.18 Windows (Zalecany Windows 10/11/Server, 64-bit)

Omada_Network_Application_v6.1.0.18_linux_x64.tar.gz

Omada_Network_Application_v6.1.0.18_linux_x64.deb

Możesz również odwiedzić strony Społeczności biznesowej, aby uzyskać najnowsze oprogramowania pre-release.

Omada_Network_Application_V6.1.x.x Pre-Release Firmware (Aktualizacja 9 Stycznia 2026) - Społeczność biznesowa

Hardware Controllers Omada SDN Controller 6.1 Pre-Release Firmware (Aktualizacja 13 Stycznia 2026) - Społeczność biznesowa

3. Tymczasowe środki zaradcze (jeśli nie możesz jeszcze wykonać aktualizacji):

Dodaj następującą linijkę do eap.mongod.args w properties/omada.properties:

--networkMessageCompressors snappy

Spowoduje to wyłączenie kompresji zlib i zapobiegnie wykorzystaniu MongoBleed.

4. Kontrolery dla systemu Linux z samodzielnie wdrożonym MongoDB:

Należy zaktualizować MongoDB korzystając z oficjalnych porad MongoDB:
https://jira.mongodb.org/browse/SERVER-115508

Wersje MongoDB zawierające poprawki:
8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, 4.4.30

Informacje dotyczące aktualizacji:

• Mniejsze aktualizacje wersji (np., 7.0.14 → 7.0.28) → Brak problemów z kompatybilnością.
• Główne aktualizacje wersji (np., 3.6 → 4.4) → Postępuj zgodnie z dodatkowymi krokami poniżej:

Zapoznaj się z poradnikami na stronie Omada:

https://www.omadanetworks.com/pl/support/faq/4398/

https://www.omadanetworks.com/pl/support/faq/4160/

Zastrzeżenie:

Jeśli nie wykonasz powyższych zalecanych działań, podatność bezpieczeństwa będzie nadal występować. TP-Link nie ponosi jakiejkolwiek odpowiedzialności za konsekwencje których można było uniknąć, stosując się do zalecanych działań w tym oświadczeniu.