---

📋 De un vistazo

🎯 Productos afectados

Módulo afectado: mesh. Analizado originalmente en ver1.3.1 Build 20251023 rel.43624.

🔍 Causa raíz

El protocolo de malla Deco autentica los nodos AP ↔ RE (satélite) con una clave de grupo RSA almacenada en la partición group-info (fw_data/user_data/group-info, partición UBI 27). La clave RSA-512 completa — incluidos los componentes privados d, p y q — está incrustada en la imagen del firmware, y la misma clave e ID de grupo estático se envían en cada unidad de cada modelo afectado.

Debido a que la clave es privada, idéntica en todos los dispositivos y extraíble sin conexión de una imagen de firmware que cualquiera puede descargar, un atacante nunca necesita una credencial específica del dispositivo. Poseer la clave por sí sola satisface la puerta de autenticación de la malla (sync_slave_check en discover.lua).

El transporte que llega a esa puerta no proporciona ningún secreto adicional:

• tmpsvr escucha en UDP 20002 (TDP) y TCP 20002 (TMP).
• El campo de integridad TDP es un CRC32 simple (se sustituye una constante antes de calcular la suma de comprobación), por lo que cualquier paquete modificado se puede recalcular trivialmente — no interviene ningún secreto.
• El filtro opcode_whitelist está ausente del /etc/config/firewall predeterminado, por lo que todos los opcodes se despachan sin filtrar.

💥 Impacto

Una vez que la autenticación pasa con la clave extraída, las operaciones sensibles son accesibles sin autenticación secundaria:

Resultado neto: un atacante no autenticado y adyacente a la LAN puede hacerse pasar por un nodo de malla de confianza, sobrescribir la configuración del dispositivo y de la malla, flashear firmware arbitrario y comprometer cada nodo de la malla — sin acceso físico.

⛓️ Cadena de ataque

1. Extraer la clave privada RSA-512 sin conexión de una imagen de firmware descargable públicamente.
2. Forjar un paquete TDP — el CRC32 es recalculable, por lo que no se necesita ninguna clave secreta.
3. Bypass de sync_slave_check descifrando con RSA el desafío de grupo con la clave extraída.
4. Ejecutar una sobrescritura de configuración (uci_apply), un flash de firmware sin firmar (SYNC_FIRMWARE + SYNC_UPGRADE) o un pivot de malla completa (forward_tmp_request).
5. Comprometer cada nodo satélite en una sola operación.

El análisis completo del protocolo y la cadena de llamadas está en docs/technical-analysis.md; la metodología de reproducción está en docs/poc-methodology.md.

🛡️ Remediación

• Actualizar a 1.5.0 Build 20260603 o posterior desde las páginas de descarga oficiales de TP-Link (abajo).
• El firmware parcheado añade una capa de autenticación (tmpv2 v2.0): el canal de control se mueve detrás de Dropbear SSH en el puerto 20001 con un handshake ASSOC y tokens UUID por sesión, y tmpsvr se vincula solo a 127.0.0.1. La validación estática de la corrección está en docs/patch-validation.md.
• Hasta que se actualice, restringir el acceso no confiable al segmento LAN/malla y a los puertos UDP/TCP 20002.

🗓️ Cronología de divulgación

🔗 Referencias

• Registro CVE — https://www.cve.org/CVERecord?id=CVE-2026-15469
• Aviso de TP-Link (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• Firmware — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ Divulgación responsable

Este repositorio se publica después de la coordinación con el proveedor y el lanzamiento de una corrección. El material real de la clave privada RSA-512 codificada y el ID de grupo estático están redactados en todo el documento (mostrados como [REDACTED …]) para prevenir la explotación directa de dispositivos que aún no se han actualizado. Los documentos describen la estructura de la vulnerabilidad, la causa raíz y la metodología de reproducción con fines defensivos y educativos; no proporcionan material de clave explotable listo para usar.

📂 Documentos

📄 Licencia

La documentación y el análisis están licenciados bajo CC BY 4.0 · © 2026 Junsung Ahn