---

📋 En un coup d'œil

🎯 Produits concernés

Module concerné : mesh. Analysé à l'origine sur ver1.3.1 Build 20251023 rel.43624.

🔍 Cause racine

Le protocole maillé Deco authentifie les nœuds AP ↔ RE (satellite) avec une clé de groupe RSA stockée dans la partition group-info (fw_data/user_data/group-info, partition UBI 27). La clé RSA-512 complète — y compris les composants privés d, p et q — est intégrée dans l'image du firmware, et la même clé ainsi que le même ID de groupe statique sont livrés dans chaque unité de chaque modèle concerné.

Étant donné que la clé est privée, identique sur tous les appareils et extractible hors ligne à partir d'une image de firmware que n'importe qui peut télécharger, un attaquant n'a jamais besoin d'un identifiant spécifique à l'appareil. La possession de la clé seule suffit à satisfaire la passerelle d'authentification maillée (sync_slave_check dans discover.lua).

Le transport qui atteint cette passerelle ne fournit aucun secret supplémentaire :

• tmpsvr écoute sur UDP 20002 (TDP) et TCP 20002 (TMP).
• Le champ d'intégrité TDP est un simple CRC32 (une constante est substituée avant le calcul de la somme de contrôle), donc tout paquet modifié est trivialement re-checksummé — aucun secret n'est impliqué.
• Le filtre opcode_whitelist est absent de la configuration /etc/config/firewall par défaut, donc tous les opcodes sont distribués sans filtrage.

💥 Impact

Une fois l'authentification réussie avec la clé extraite, les opérations sensibles sont accessibles sans authentification secondaire :

Résultat net : un attaquant non authentifié, adjacent au LAN, peut usurper un nœud maillé de confiance, réécrire la configuration de l'appareil et du maillage, flasher un firmware arbitraire et compromettre chaque nœud du maillage — sans accès physique.

⛓️ Chaîne d'attaque

1. Extraire la clé privée RSA-512 hors ligne à partir d'une image de firmware téléchargeable publiquement.
2. Forger un paquet TDP — le CRC32 est recalculable, donc aucune clé secrète n'est nécessaire.
3. Contourner sync_slave_check en déchiffrant le défi de groupe RSA avec la clé extraite.
4. Exécuter une réécriture de configuration (uci_apply), un flash de firmware non signé (SYNC_FIRMWARE + SYNC_UPGRADE), ou un pivot sur tout le maillage (forward_tmp_request).
5. Compromettre chaque nœud satellite en une seule opération.

L'analyse complète du protocole et de la chaîne d'appels se trouve dans docs/technical-analysis.md ; la méthodologie de reproduction est dans docs/poc-methodology.md.

🛡️ Remédiation

• Mettre à jour vers 1.5.0 Build 20260603 ou une version ultérieure à partir des pages de téléchargement officielles de TP-Link (ci-dessous).
• Le firmware corrigé ajoute une couche d'authentification (tmpv2 v2.0) : le canal de contrôle passe derrière Dropbear SSH sur le port 20001 avec une poignée de main ASSOC et des jetons UUID par session, et tmpsvr se lie uniquement à 127.0.0.1. La validation statique du correctif est dans docs/patch-validation.md.
• En attendant la mise à jour, restreindre l'accès non fiable au segment LAN/maillage et aux ports UDP/TCP 20002.

🗓️ Chronologie de divulgation

🔗 Références

• Enregistrement CVE — https://www.cve.org/CVERecord?id=CVE-2026-15469
• Avis TP-Link (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• Firmware — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ Divulgation responsable

Ce dépôt est publié après coordination avec le fournisseur et la sortie d'un correctif. Le matériel de clé privée RSA-512 réellement codé en dur et l'ID de groupe statique sont expurgés partout (affichés comme [REDACTED …]) pour empêcher l'exploitation directe des appareils qui n'ont pas encore été mis à jour. Les documents décrivent la structure de la vulnérabilité, la cause racine et la méthodologie de reproduction à des fins défensives et éducatives ; ils ne fournissent pas de matériel de clé d'exploitation clé en main.

📂 Documents

📄 Licence

La documentation et l'analyse sont sous licence CC BY 4.0 · © 2026 Junsung Ahn