Исследователи раскопали цепочку уязвимостей (CVE-2024-5242, 5243, 5244), позволяющую получить удалённое выполнение кода с правами root без какой-либо авторизации. Вся проблема кроется в демоне
cmxddnsd, который отвечает за динамический DNS. Мало того, что этот процесс крутится с максимальными привилегиями (зачем?), так он еще и написан с пренебрежением ко всем правилам безопасной разработки.TP-Link решила изобрести свой велосипед для шифрования трафика DDNS, используя модифицированный Base64 и... алгоритм DES. Да, в 2026 году они используют DES 🏥 Но самое волшебное - ключ шифрования был просто захардкожен в бинарнике демона. Это позволило исследователям среверсить протокол и научиться генерировать валидные ответы от имени сервера. Атака требует позиции человека посередине (например, через поддельный DHCP в локалке), чтобы перехватить запрос роутера к DDNS и подсунуть ему свой ответ.
Дальше начинается классика эксплуатации памяти. Поскольку разрабы забыли проверить длину полей, атакующий сначала отправляет раздутый пакет, чтобы вызвать переполнение глобальных структур и получить утечку адресов памяти - это элегантно обходит защиту ASLR. А вторым этапом в поле
ErrorCode запихивается полезная нагрузка, которая переполняет стек, перезаписывает адрес возврата для последовательного вызова программных инструкций. В итоге демон, вместо обработки ошибки, исполняет шелл-код атакующего ⌨️Если у вас в филиалах стоят эти ТП-линки с прошивкой ниже 2.2.4, то разумно накатить обновление, которое вышло еще некоторое время назад, но про которое, как обычно, забыли. Ну и изолировать Management VLAN, хотя в данном случае атака может прилететь и из LAN-сегмента.
Типичный 🥸 Сисадмин