TP-Linkは、Omadaルーターのシリアル番号をパッケージ本体と機器に貼付されたラベルの両方に印字しています。これらの番号は連番になっており、推測したシリアル番号をOmadaクラウドサービスに送信すると、該当する機器のMACアドレスとモデルが返ってきます。「22460J500」で始まるシリアル番号はER605ルーター、「224608100」で始まるシリアル番号はER7206に対応しているとみられます。
Forescoutの研究チームVedere Labsは、これを攻撃チェーンの一部として組み込みました。同社は、中小企業向けTP-LinkネットワーキングラインであるOmadaに存在する15件の脆弱性から、複数の攻撃チェーンを構築しています。
攻撃者は標的ネットワークに一切触れることなく、管理者のクラウドコントローラーのパスワード、拠点内の全機器が共有するパスワード、そして内部ネットワークへのVPNトンネルを手に入れることができます。Omadaのルーター、スイッチ、アクセスポイントを利用しているユーザーは全員この脅威にさらされます。同じ壊れた証明書チェーンを信頼している、他4製品ラインのTP-Link製品のオーナーも同様です。
TP-Linkはこれらの発見事項のほとんどについてアドバイザリとパッチを公開済みです。ただし、そのうち4件についてはCVE識別子の発行を見送り、連番シリアル番号の問題については深刻度を「低」と評価しています。
ゼロタッチプロビジョニングの仕組み
ゼロタッチプロビジョニング（ZTP）は、ネットワーク管理チームが150台のアクセスポイントを開梱しても、一台一台手作業で設定せずに済むようにするための仕組みです。新しい機器が起動すると、コントローラーと呼ばれるプロビジョニングサーバーを見つけ出し、そこから設定情報、認証情報、ファームウェアを受け取ります。Omadaの場合、このコントローラーはクラウドサービス、小型アプライアンス、あるいは仮想マシン上で動作するソフトウェアのいずれかになります。
制御が一元化されているということは、障害も一元化されるということです。コントローラーを侵害すれば、そのコントローラーが管理する全機器を手中に収めることになります。Omadaは機器を「サイト」単位でグループ化しており、各サイトは全メンバーが共有する1組のユーザー名とパスワードを使用します。つまり、たった1つの認証情報で機器のクラスター全体をカバーできてしまうのです。
コントローラーはネットワーク上で特権的な位置を占めることが多く、しばしばファイアウォールの例外設定が施されているため、悪用の発見が難しくなります。Forescoutのレポートは、この手法を防御担当者になじみ深い言葉で「ネットワークインフラ内における“Living off the Land”（現地調達型攻撃）」と表現しています。
シリアル番号からVPNトンネルまでの攻撃チェーン
推測したシリアル番号をクラウドAPIに一括問い合わせすれば、まだコントローラーに引き渡されていない機器に属するMACアドレスの一覧が手に入ります。次に攻撃者は、実際の機器を出し抜くレースを仕掛けます。標的機器のMACアドレスだけをなりすまし、機器本体より先に最初のアダプション（引き渡し）メッセージを送信し、クラウド側が応答するまで60秒ごとに再送し続けるのです。Vedere Labsはテストで高い成功率を確認しており、同時に1,000個のMACアドレスを試行するには毎秒およそ17件のリクエストが必要になると見積もっています。
クラウド側の認証チャレンジに応答するのに、秘密情報は一切必要ありません。新しい機器は出荷時のデフォルト認証情報「admin/admin」でチャレンジに署名するため、攻撃者も同じ方法で署名すればよいのです。クラウドは応答として機器の設定情報を返します。その中にはサイトのユーザー名が平文で、サイトのパスワードがソルトなしのMD5ハッシュとして、そして時にはVPN鍵まで含まれています。Omadaのプロトコルはハッシュ値そのものを本人確認の証拠として受け入れるため、ハッシュの解読すら不要です。
なりすました機器はその後、ファームウェアバージョンをコントローラーに報告しますが、この文字列は一切サニタイズされません。ここにJavaScriptを仕込めば、管理者のブラウザ上で実行されてしまいます。Vedere Labsはこれを利用し、Omadaダッシュボード上に偽のセッション切れログイン画面を表示させ、盗んだパスワードを攻撃者が運用するサーバーに送信させることに成功しました。このアカウントを使えば、攻撃者は内部ネットワークへのVPNトンネルを設定できます。侵入後は、以前公表済みの脆弱性CVE-2025-7850を使い、Omada機器上でroot権限のコマンドを実行できます。
1つの証明書チェーンが5つの製品ファミリーに影響
証明書に関する発見事項は、影響範囲が最も広い問題です。Omadaのハードウェア版・ソフトウェア版コントローラーは、ソフトウェアに組み込まれたTLS証明書と秘密鍵を出荷時から搭載しており、この鍵がコントローラーの正当性を証明する役割を担っています。1台のコントローラーからこの鍵を抜き出せれば、クライアント機器に対して自分の端末が正規のコントローラーであると信じ込ませることができます。クラウド接続では追加の本人確認が行われますが、コントローラーのホスト名をIPアドレスに置き換えることでこのチェックを回避できてしまいます。
同じ信頼チェーンは、VIGIカメラ、Festaルーター、TapoおよびKasaのスマートホーム製品ラインの背後にも存在します。1組の証明書が、5つの製品ファミリーに影響を及ぼしているのです。
規模という点でも、数字には注意が必要です。Vedere Labsは、インターネットから到達可能なOmadaコントローラーを1,800台以上確認していますが、本来これらはファイアウォールで保護されているべきものであり、この数字は通常の展開状況ではなく設定ミスの実態を示しています。Forescoutは、OmadaおよびOmada GuardアプリのGoogle Playダウンロード数が110万件、その他の影響を受けるTP-Linkアプリについては7,000万件以上に上ると集計しました。ダウンロード数はアカウント数と同一ではなく、研究者らは数百万件規模のアクティブアカウントが存在する可能性がある、とだけ述べています。これらのアプリの多くは1つのTP-Linkクラウドログインを共有しているため、Omadaアカウントが侵害されると、紐付けられたVIGIカメラの展開環境にまで影響が及ぶ可能性があります。
ルーター本体に保存されている機器パスワードは、ソルトなしのMD5でハッシュ化された後、ソースコードに直接書き込まれた鍵を使ってAES-256で暗号化されています。その鍵となる文字列はwho are you?です。
426日という期間、それでも修正されない部分も
Vedere Labsは2025年6月にすべての問題を報告し、その426日後に公表しました。うち2件の欠陥はファームウェアでは修正できません。報告から240日目に、TP-Linkは、予測可能なシリアル番号と列挙の問題に対処するには機器の製造工程、パッケージング、工場での作業フロー、販売代理店の物流にまで手を加える必要があり、残る作業は2026年第3四半期までに完了しない可能性があると説明しています。
まず取り組むべきは、アドバイザリを参照しながらコントローラーとモバイルアプリにパッチを適用することです。その後は、プロビジョニング時に1つのパスワードを複数機器で使い回すのをやめ、機器の認証情報を変更し、TP-Link IDの多要素認証（MFA）を有効化し、コントローラーが払い出した可能性のあるVPN鍵はすべてローテーションしてください。これらの攻撃の大半はローカルでの傍受を前提としているため、NACを伴う802.1X、ポートセキュリティ、動的ARP検査、無線クライアントの分離、セグメンテーションはいずれも攻撃対象領域を直接的に縮小する効果があります。
翻訳元: https://www.helpnetsecurity.com/2026/08/05/forescout-tp-link-omada-vulnerabilities/
