Аналитики компании Forescout нашли сразу 15 уязвимостей в механизме zero-touch provisioning (ZTP) устройств TP-Link Omada. В сочетании с двумя ранее раскрытыми RCE-багами эти проблемы позволяют проникнуть во внутреннюю сеть и перехватить контроль над управляемым сетевым оборудованием.

Omada — линейка компании TP-Link для корпоративных сетей, в которую входят точки доступа Wi-Fi, коммутаторы, шлюзы и VPN-роутеры. ZTP позволяет администраторам и MSP удаленно подключать и настраивать такие устройства.

Специалисты Forescout сообщают, что обнаружили в Omada такие проблемы, как жестко закодированные криптографические ключи и сертификаты, небезопасная передача учетных данных, некорректная проверка сертификатов, открывающая путь для MitM-атак, XSS в интерфейсе контроллера и состояние гонки при добавлении устройств через облако.

Одиннадцать уязвимостей получили идентификаторы с CVE-2025-9289 по CVE-2025-9293, CVE-2025-15544 и с CVE-2025-15627 по CVE-2025-15631. Еще четыре проблемы остались без отдельных CVE, так как в TP-Link оценили их как уязвимости низкой степени опасности. Эти баги связаны с подключением устройств по одному лишь серийному номеру, дефолтными учетными данными, доступными при первоначальной настройке, предсказуемыми серийными номерами и временными ссылками на скачивание файлов без аутентификации.

По словам исследователей, наиболее опасный сценарий атаки не требует от атакующего первоначального доступа к сети. Вместо этого хакер может перебором выявить предсказуемые серийные номера, узнать MAC-адреса устройств, ожидающих подключения. Затем злоумышленнику понадобится выдать себя за одно из устройств, выиграть состояние гонки, зарегистрировав собственный поддельный девайс раньше настоящего, и получить доступ с помощью учетных данных по умолчанию.

После аутентификации контроллер раскрывает конфигурацию устройства, включая имя пользователя открытым текстом, MD5-хеш пароля без соли и, возможно, ключи VPN.

Специалисты полагают, что следом атакующий может внедрить JavaScript в административный интерфейс, похитить учетные данные администратора и с их помощью изменять конфигурацию оборудования или прокладывать VPN-туннели во внутреннюю сеть.

Кроме того, если объединить новые уязвимости с ранее раскрытыми багами внедрения команд CVE-2025-7850 и CVE-2025-7851, у хакера появится возможность удаленного выполнения команд на уровне root на управляемых устройствах.

Обнаруженные уязвимости затрагивают контроллеры Omada, шлюзы, коммутаторы, точки доступа, OLT-платформы, облачные сервисы и мобильные приложения TP-Link. Также отмечается, что некоторые баги представляют опасность и для других продуктов компании, включая IP-камеры VIGI, роутеры Festa и устройства умного дома Tapo и Kasa.

В настоящее время разработчики TP-Link уже выпустили патчи для части найденных проблем. При этом, по оценке исследователей, устранение других уязвимостей растянется до конца 2026 года, а часть малоопасных багов исправлять не планируется в принципе.

Владельцам устройств Omada рекомендуют установить свежие прошивки и версии приложений, включить многофакторную аутентификацию, использовать уникальные и надежные пароли, а также проверить сеть на признаки подозрительной активности.