TP-Link Omadaの15件の脆弱性、ゼロタッチプロビジョニングを悪用してデバイスを乗っ取りネットワークに侵入

セキュリティ研究者らが、TP-LinkのOmadaゼロタッチプロビジョニング(ZTP)エコシステムに存在する15件の脆弱性を公表しました。これらはデバイスを乗っ取るために悪用可能で、コントローラーの侵害、認証情報の露出、内部ネットワークへの侵入口の作成につながる恐れがあります。

セキュリティ製品・サービス

「Zero Day Provisioning」と題されたこの研究は、Black Hat USA 2026で発表されたもので、Omadaコントローラーがゲートウェイ、ルーター、スイッチ、無線アクセスポイントを自動設定する際の信頼関係に存在する弱点に焦点を当てています。

TP-Linkは複数のCVEに対してアドバイザリを発行しており、そのほかに4件の脆弱性がCVEプロセス外で対処されています。

TP-Link Omadaの15件の脆弱性

ZTPは、新しく接続されたデバイスがコントローラーを識別し、認証を行い、設定データを受け取り、手作業での管理を必要とせずにファームウェアやポリシーの変更を受け入れられるようにすることで、大規模展開を簡素化するために設計されています。

しかし、Forescoutが特定したOmadaのオンボーディングおよび通信プロセスの欠陥には、クライアント側でのコード実行の脆弱性、機密情報の漏えい、デバイスのなりすまし、乗っ取り、暗号化通信の侵害などが含まれます。

その影響はOmadaコントローラーやインフラ機器にとどまらず、一部のFesta製品、VIGI監視プラットフォーム、TP-Linkクラウドサービス、さらにはTapo、Kasa、Omada、TetherといったAndroidアプリケーションにも及びます。

複数の欠陥が暗号の信頼チェーンを損なっています。CVE-2025-15627はOmadaプロトコルのバージョン1におけるハードコードされた秘密鍵に関するもので、CVE-2025-15628はバージョン2におけるハードコードされたTLS証明書とそれに関連する秘密鍵に関するものです。

CVE-2025-15629は予測可能なRC4暗号化鍵に起因し、CVE-2025-9291はデバイスがコントローラー証明書を検証する際のコモンネーム検証の不備を示しています。

これらの弱点が組み合わさることで、知識のある攻撃者が信頼されたコンポーネントになりすましたり、本来安全であるはずの通信を傍受したりできる可能性があります。

最も重大な攻撃経路は、デバイスが完全に登録される前の段階で始まります。研究者らによると、脅威アクターは予測可能なシリアル番号を列挙し、関連するデバイス情報を取得し、クラウド導入待ちのシステムを特定できるとしています。

標的デバイスのMACアドレスを偽装し、CVE-2025-15630として追跡されているクラウド導入時の競合状態(レースコンディション)を悪用することで、攻撃者は正規デバイス向けのプロビジョニング情報を取得できる可能性があります。デフォルトの導入用認証情報や安全でない認証情報の扱いに関する脆弱性は、さらにサイトの認証情報、管理者のハッシュ値、場合によってはVPNの秘密情報まで露出させかねません。

Forescoutはまた、Omadaコントローラーのインターフェースにおけるクロスチャネルスクリプティングの問題であるCVE-2025-9289、そして特定の条件下で過度に許可的なWebセキュリティポリシーに関わるCVE-2025-9292も特定しています。

アクセス権を取得した攻撃者は、悪意のあるJavaScriptを注入し、管理者をだまして認証情報を入力させ、盗んだアクセス権を使って管理下のインフラを改変することが可能です。

これらの脆弱性は、既に公表済みのTP-Linkのコマンドインジェクションの脆弱性であるCVE-2025-7850およびCVE-2025-7851と組み合わさることで、外部からのデバイス発見から内部ネットワークへのアクセスに至る経路を形成する恐れがあります。

ソフトウェア脆弱性データベース

Omadaを利用している組織は、TP-Linkのアドバイザリに従い、影響を受けるデバイスのファームウェア、コントローラーソフトウェア、モバイルアプリケーションを更新することが推奨されます。

管理者は、共有されているプロビジョニング用パスワードを強力かつ固有の認証情報に置き換え、可能な場合はTP-Linkクラウドアカウントで多要素認証を有効化し、漏えいの可能性があるVPN鍵や証明書をローテーションし、コントローラーがインターネットに直接公開されないようにする必要があります。

ネットワークセグメンテーション、802.1XによるNAC(ネットワークアクセス制御)、ポートセキュリティ、動的ARP検査、無線クライアント分離、そして異常な導入・コントローラー活動の監視を実施することで、攻撃が成功した場合の被害を軽減できます。

警告:20以上の政府サイトが企業や市民にマルウェアを配布していました。完全な攻撃調査レポートはこちらから確認し、自組織の露出状況をチェックしてください。