- Forescout傘下のVedere Labsが、TP-LinkのOmadaビジネス向けネットワーク機器に15件の脆弱性を発見。過去のCVEと組み合わせることでリモートコード実行（RCE）が可能に
- ゼロタッチプロビジョニングにおける信頼確立の甘さが、クライアント側でのコード実行、乗っ取り、なりすまし、暗号化通信の侵害につながる危険性を露呈
- TP-Linkはファームウェアの更新版をリリース済み。1,800台以上のOmadaコントローラーがインターネット上に公開されており、管理者は直ちにパッチを適用すべき
TP-Linkは、複数のビジネス向けネットワーク製品にまたがる十数件の脆弱性を修正しました。これらは組み合わせることでリモートコード実行（RCE）につながる恐れがありました。
Forescout傘下のVedere Labsのセキュリティ研究者たちがこれらの脆弱性を発見し、詳細な調査報告書を公開しました。今回の問題は特に、企業や中小規模ビジネスのネットワークインフラを一元管理するためのプラットフォームであるTP-Link Omadaに影響を及ぼします。
対象にはクラウド管理型のWi-Fiアクセスポイント、ルーター、スイッチ、ゲートウェイ、コントローラーが含まれており、いずれも単一のインターフェースから監視・設定が可能です。
「具体的な攻撃」を可能にする仕組み
これらの製品はゼロタッチプロビジョニング（ZTP）に対応しています。ZTPは、ITマネージャーが各デバイスを一台ずつ手動で現地設定する必要なく、デバイスの展開・保守を行える仕組みです。
しかし、ZTPは工場出荷直後のデバイスとコントローラーとの間で、人の手を介さずに信頼関係を確立しなければなりません。そのためTP-Linkは、複数のデバイス間で共有されるハードコードされた鍵や証明書、デフォルトの認証情報、「識別子」として使われる推測可能なシリアル番号、脆弱なランダム性のセッションキーなど、さまざまな近道を用いていました。
Forescoutによると、研究者たちが発見した15件の脆弱性は、いずれもこうした近道を悪用するさまざまな手口を可能にするものであり、オンボーディングの過程のどこか一つに欠陥があるだけで、その過程を経たすべてのデバイスが侵害されうるといいます。ただし、これらのバグを実際に悪用するには、既に開示されている2件のコマンドインジェクションの脆弱性と組み合わせる必要があります。
Forescoutは次のように述べています。「これらの脆弱性は、クライアント側でのコード実行、情報漏えい、デバイスの乗っ取りとなりすまし、暗号化通信の侵害という4つの影響カテゴリーに分類されます。既に開示されている2件のCVE（CVE-2025-7850およびCVE-2025-7851）と組み合わせることで、これらの脆弱性は、攻撃者がコントローラーやクライアントデバイスを足がかりにネットワークへ侵入するという、具体的な攻撃を可能にします」
発見された15件の脆弱性のうち、11件にはCVE識別子が付与されましたが、残りには追跡用の番号は付与されていません。
Forescoutによれば、インターネット上からアクセス可能なOmadaコントローラーは1,800台以上に上るといいます。同プラットフォームのいずれかのデバイスを使用している場合は、TP-Linkのダウンロードポータルにアクセスし、該当デバイスモデル向けの最新ファームウェアを入手することをお勧めします。
