---

📋 Auf einen Blick

🎯 Betroffene Produkte

Betroffenes Modul: mesh. Ursprünglich analysiert auf ver1.3.1 Build 20251023 rel.43624.

🔍 Grundursache

Das Deco-Mesh-Protokoll authentifiziert AP ↔ RE- (Satelliten-) Knoten mit einem RSA-Gruppenschlüssel, der in der group-info-Partition (fw_data/user_data/group-info, UBI-Partition 27) gespeichert ist. Der vollständige RSA-512-Schlüssel — einschließlich der privaten Komponenten d, p und q — ist in das Firmware-Image eingebettet, und derselbe Schlüssel sowie dieselbe statische Gruppen-ID werden in jedem Gerät jedes betroffenen Modells ausgeliefert.

Da der Schlüssel privat, auf allen Geräten identisch und offline aus einem Firmware-Image extrahierbar ist, das jeder herunterladen kann, benötigt ein Angreifer niemals eine gerätespezifische Anmeldeinformation. Allein der Besitz des Schlüssels erfüllt das Mesh-Authentifizierungsgate (sync_slave_check in discover.lua).

Der Transport, der dieses Gate erreicht, bietet kein zusätzliches Geheimnis:

• tmpsvr lauscht auf UDP 20002 (TDP) und TCP 20002 (TMP).
• Das TDP-Integritätsfeld ist eine einfache CRC32-Prüfsumme (eine Konstante wird vor der Berechnung der Prüfsumme substituiert), sodass jedes modifizierte Paket trivial neu prüfsummiert werden kann — kein Geheimnis ist beteiligt.
• Der opcode_whitelist-Filter ist in der Standard-/etc/config/firewall nicht vorhanden, sodass alle Opcodes ohne Filterung weitergeleitet werden.

💥 Auswirkungen

Sobald die Authentifizierung mit dem extrahierten Schlüssel erfolgreich ist, sind sensible Operationen ohne sekundäre Authentifizierung erreichbar:

Nettoergebnis: Ein nicht authentifizierter, LAN-naher Angreifer kann einen vertrauenswürdigen Mesh-Knoten imitieren, Geräte- und Mesh-Konfiguration überschreiben, beliebige Firmware flashen und jeden Knoten im Mesh kompromittieren — ohne physischen Zugriff.

⛓️ Angriffskette

1. Extrahieren Sie den privaten RSA-512-Schlüssel offline aus einem öffentlich herunterladbaren Firmware-Image.
2. Fälschen Sie ein TDP-Paket — die CRC32 ist neu berechenbar, sodass kein geheimer Schlüssel benötigt wird.
3. Umgehen Sie sync_slave_check, indem Sie die Gruppen-Herausforderung mit dem extrahierten Schlüssel RSA-entschlüsseln.
4. Ausführen einer Konfigurationsüberschreibung (uci_apply), eines unsignierten Firmware-Flashens (SYNC_FIRMWARE + SYNC_UPGRADE) oder einer mesh-weiten Pivotierung (forward_tmp_request).
5. Kompromittieren Sie jeden Satellitenknoten in einem einzigen Vorgang.

Die vollständige Protokoll- und Aufrufkettenanalyse finden Sie in docs/technical-analysis.md; die Reproduktionsmethodik finden Sie in docs/poc-methodology.md.

🛡️ Abhilfe

• Aktualisieren Sie auf 1.5.0 Build 20260603 oder später über die offiziellen TP-Link-Downloadseiten (unten).
• Die gepatchte Firmware fügt eine Authentifizierungsebene hinzu (tmpv2 v2.0): Der Steuerkanal wird hinter Dropbear SSH auf Port 20001 mit einem ASSOC-Handshake und Sitzungs-UUID-Tokens verschoben, und tmpsvr bindet nur an 127.0.0.1. Die statische Validierung des Fixes finden Sie in docs/patch-validation.md.
• Bis zur Aktualisierung beschränken Sie nicht vertrauenswürdigen Zugriff auf das LAN-/Mesh-Segment und auf UDP/TCP-Port 20002.

🗓️ Offenlegungszeitplan

🔗 Referenzen

• CVE-Eintrag — https://www.cve.org/CVERecord?id=CVE-2026-15469
• TP-Link Advisory (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• Firmware — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ Verantwortungsvolle Offenlegung

Dieses Repository wird nach Koordination mit dem Hersteller und der Veröffentlichung eines Fixes publiziert. Das tatsächliche hartcodierte private RSA-512-Schlüsselmaterial und die statische Gruppen-ID sind durchgehend redigiert (als [REDACTED …] dargestellt), um eine direkte Ausnutzung von Geräten zu verhindern, die noch nicht aktualisiert wurden. Die Dokumente beschreiben die Schwachstellenstruktur, die Grundursache und die Reproduktionsmethodik zu Verteidigungs- und Bildungszwecken; sie liefern kein schlüsselfertiges Exploit-Schlüsselmaterial.

📂 Dokumente

📄 Lizenz

Dokumentation und Analyse sind unter CC BY 4.0 lizenziert · © 2026 Junsung Ahn