TP-Linkの15件の脆弱性、ゼロタッチプロビジョニングのリスクを露呈

Black Hat USA 2026 – ラスベガス – 研究者らは、TP-Linkのネットワーキング技術に15件の脆弱性が存在することを公表しました。これにより、企業がゼロタッチプロビジョニング(ZTP)を無条件に信頼していることの是非が問われる形となっています。

TP-Linkは、世界最大級のエッジデバイスメーカーの一つです。同社によれば、その製品は170カ国以上で17億人に利用されているといいます。TP-Linkはこれまで年間数十億ドル規模の売上を誇り、無線LAN(WLAN)技術の世界市場シェアは15%から45%程度に達していました。しかし近年は、政治的な理由から、同社自らその普及率の大きさを控えめに表現せざるを得ない状況にもなっています。

今週開催されたBlack Hatにおいて、ForescoutのVedere Labsに所属するセキュリティ研究者、Stanislav Dashevskyi氏とFrancesco La Spina氏は、TP-Linkのルーター、スイッチ、ゲートウェイ、Wi-Fiアクセスポイント向けソフトウェア定義ネットワーキング(SDN)エコシステムである「Omada」に影響を及ぼす15件の脆弱性を明らかにしました。もっとも、これらの問題はデバイス自体というより、デバイスをオンボーディングし、プロビジョニングするプロセスに関わるものです。だからこそ研究者らは、個々の脆弱性やエクスプロイトチェーンよりもむしろ、企業がTP-Link製品をそもそも導入する際に用いる、今どきの便利なプロセスであるZTPに注目するよう呼びかけているのです。

「ZTPそのものが本質的に攻撃対象領域を拡大するわけではありませんが、実際には多くの独立した信頼判断を単一の自動プロビジョニングフローに集約してしまうことで、攻撃対象領域を劇的に増大させる可能性があります」とLa Spina氏は説明します。「これが価値の高い侵害ポイントを生み出し、複数の脆弱性を連鎖させることで大規模なネットワークやサプライチェーンへの侵入を可能にしてしまうのです」

ZTPの光と影

自宅にWi-Fiサービスを導入した時のことを思い出してみてください。インターネットサービスプロバイダー(ISP)の技術者が訪問し、20分から数時間程度かけてすべての設定を行ったはずです。

ネットワーク機器の設定は面倒な作業ですが、少なくとも一般消費者はたまにしか行う必要がありません。しかし企業の場合、これを頻繁に行わなければなりません。さらに近年は、企業が地理的に拠点を拡大するケースが増えており、それに伴い各地に多数のリモート機器を展開する必要も生じています。機器を開封してすぐ、自動的に設定できる方法があれば理想的でしょう。

それを実現するのが、その名の通りの仕組みである「ゼロタッチプロビジョニング」です。企業内の新しいネットワーク機器一つひとつに手間のかかる手動セットアップを行う代わりに、ネットワーク管理者は単一のプロビジョニングサーバーを使い、あらかじめ定義された設定データに基づいて、いつでも任意の台数の新しいデバイスを自動的にセットアップできます。

ZTPの利便性の高さこそが、その急速な普及の理由であり、業界予測では今後10年間で100%から200%のさらなる成長が見込まれています。これは同時に、その裏に潜むサイバーセキュリティリスクについて聞きたがらない向きがある理由の説明にもなるでしょう。Forescoutの研究者らが新たに公開した調査結果で説明しているように、ZTPは企業を、安全でないプロトコル、共有された秘密情報、単一障害点(プロビジョニングサーバー)、そして過度に信頼されたデバイスを悪用する攻撃経路といったリスクにさらす恐れがあります。

こうしたリスクを実証するため、研究者らはTP-LinkのZTP対応Omadaエコシステムに多数の脆弱性を発見し、それらを組み合わせることで大きな効果を発揮しうることを示しました。

新たに公表されたTP-Linkの15件の脆弱性

大まかに言えば、これらのTP-Linkの脆弱性は、デバイスの乗っ取りやなりすましを可能にするもの、クライアント側でのコード実行を可能にするもの、機密情報の漏えいにつながるもの、そして暗号化や信頼の連鎖(チェーン・オブ・トラスト)を侵害するものという4つのグループに大別できます。共通脆弱性評価システム(CVSS)によれば、そのほとんどが中位または高位の深刻度に分類されています。

重要なのは個々の脆弱性そのものではない、とDashevskyi氏は述べています。「これらの多様性こそが、攻撃者にOmadaプロトコルを様々な攻撃に転用する大きな機会を与えているのです。ローカルからの攻撃、ソーシャルエンジニアリングを介したインターネット経由の攻撃など、多くのシナリオに適応させることができてしまいます」

例えば、認証を持たない外部の攻撃者は、TP-Linkのデバイスのシリアル番号が連番であり、それゆえ予測可能であるという事実を利用し、これから企業のOmadaシステムに登録されようとしているデバイスになりすますことが可能です。そのうえで競合状態(レースコンディション)を突き、正規のデバイスより先に被害者のクラウドネットワークに接続してその識別情報を乗っ取り、TP-Linkのデフォルトのユーザー名「admin」とパスワード「admin」を使って認証を通過してしまいます。

Omada内で承認済みデバイスとして認証を得た攻撃者は、平文の設定データや秘密情報を入手し、これをラテラルムーブメント(横展開)に利用できます。さらに、この足がかりを使ってネットワーク管理者を狙ったフィッシングで認証情報をだまし取り、システムのコントローラー全体を乗っ取ることも可能です。

研究者らはまた、すでにネットワーク内部に侵入している攻撃者が想定しうる4つの攻撃シナリオについても概説しています。攻撃者は複数の脆弱性を組み合わせることで、クライアントデバイスやネットワークコントローラーになりすまし、root権限でのリモートコード実行(RCE)を行ったり、インターネットに接続されたゲートウェイの送受信トラフィックを制御して中間者(MiTM)型攻撃を仕掛けたりすることが可能になります。

また注目すべき点として、TP-Linkはスマートホーム機器や監視カメラも販売しており、これらはネットワーキング機器と同じインフラの一部を共有し、類似のプロトコルを使用しています。そのため研究者らは、例えばTP-Linkのビデオ管理システムも、Omadaのネットワークコントローラーとほぼ同様の方法で悪用可能であり、カメラとビデオレコーダー間でやり取りされるデータをハッカーが傍受・改ざんできてしまうことを発見しました。

Forescoutが発見したゼロデイや脆弱性チェーンの数が多かっただけでなく、その一部はOmadaプロトコルの根幹に関わる設計上の判断に起因していたため、修正にはシステム全体に及ぶ大規模な変更が必要でした。Forescoutがベンダーに最初の報告を行ってから、すべての問題が解決されるまでには1年以上の歳月を要しています。

ZTPはリスクが大きすぎるのか

Forescoutの主張は、ZTPが特別にリスクの高いもの、あるいは全体として悪いものだというわけではありません。利便性かセキュリティかという、あの使い古された議論の話でもありません。研究者らが指摘したいのは単純に、ZTPは何も考えずに導入してよいものではない、という点です。

企業がZTPを導入する際に最もよく犯す過ちは、Dashevskyi氏いわく「この技術は当然『動く』ものであり、根本的な脆弱性など存在しないと思い込んでしまうことです。『ZTP』は『Zero-Touch Provisioning(ゼロタッチプロビジョニング)』ではなく、むしろ『Zero-Trust Provisioning(ゼロトラスト・プロビジョニング)』の略だと捉え、そのように扱うべきでしょう」とのことです。

慎重に管理されていれば、とLa Spina氏は言います。「ZTPは依然として正味でプラスの効果をもたらします。手作業を減らし、機器群の展開を迅速化し、ヒューマンエラーを減らすからです。しかしこうした利点は、堅牢な実装、セグメンテーション、秘密情報の適切な管理、そして脅威モデリングがあってこそ成り立つものです。そうでなければ、中央のプロビジョニングサーバーは、信頼された管理ゾーンの内部から悪用されうる、被害範囲の極めて大きい標的と化してしまいます」