---

📋 एक नज़र में

🎯 प्रभावित उत्पाद

प्रभावित मॉड्यूल: mesh. मूल रूप से ver1.3.1 Build 20251023 rel.43624 पर विश्लेषण किया गया।

🔍 मूल कारण

Deco मेश प्रोटोकॉल AP ↔ RE (सैटेलाइट) नोड्स को group-info पार्टीशन (fw_data/user_data/group-info, UBI पार्टीशन 27) में संग्रहीत RSA ग्रुप की से प्रमाणित करता है। पूर्ण RSA-512 की — जिसमें निजी घटक d, p, और q शामिल हैं — फर्मवेयर इमेज में एम्बेडेड है, और वही की और स्थिर ग्रुप ID प्रभावित मॉडलों की हर इकाई में भेजी जाती है।

क्योंकि की निजी, सभी डिवाइसों में समान, और ऑफ़लाइन निकालने योग्य है — किसी भी डाउनलोड करने योग्य फर्मवेयर इमेज से — हमलावर को कभी भी डिवाइस-विशिष्ट क्रेडेंशियल की आवश्यकता नहीं होती। अकेले की का होना मेश प्रमाणीकरण गेट (discover.lua में sync_slave_check) को संतुष्ट करने के लिए पर्याप्त है।

उस गेट तक पहुँचने वाला ट्रांसपोर्ट कोई अतिरिक्त गोपनीयता प्रदान नहीं करता:

• tmpsvr UDP 20002 (TDP) और TCP 20002 (TMP) पर सुनता है।
• TDP अखंडता फ़ील्ड एक सादा CRC32 है (चेकसम की गणना से पहले एक स्थिरांक प्रतिस्थापित किया जाता है), इसलिए किसी भी संशोधित पैकेट को आसानी से पुनः-चेकसम किया जा सकता है — इसमें कोई गोपनीयता शामिल नहीं है।
• opcode_whitelist फ़िल्टर डिफ़ॉल्ट /etc/config/firewall से अनुपस्थित है, इसलिए सभी opcodes बिना फ़िल्टरिंग के भेजे जाते हैं।

💥 प्रभाव

एक बार निकाली गई की से प्रमाणीकरण पारित हो जाने पर, संवेदनशील ऑपरेशन बिना किसी द्वितीयक प्रमाणीकरण के पहुँच योग्य होते हैं:

अंतिम परिणाम: एक अप्रमाणित, LAN-निकटवर्ती हमलावर एक विश्वसनीय मेश नोड का रूप धारण कर सकता है, डिवाइस और मेश कॉन्फ़िगरेशन को अधिलेखित कर सकता है, मनमाना फर्मवेयर फ्लैश कर सकता है, और बिना भौतिक पहुँच के मेश के हर नोड से समझौता कर सकता है।

⛓️ हमला श्रृंखला

1. निकालें सार्वजनिक रूप से डाउनलोड करने योग्य फर्मवेयर इमेज से RSA-512 निजी की ऑफ़लाइन।
2. जालसाज़ी करें एक TDP पैकेट — CRC32 पुनः-गणना योग्य है, इसलिए किसी गोपनीय की की आवश्यकता नहीं है।
3. बायपास करें sync_slave_check को निकाली गई की से ग्रुप चैलेंज को RSA-डिक्रिप्ट करके।
4. निष्पादित करें एक कॉन्फ़िग अधिलेखन (uci_apply), एक अहस्ताक्षरित फर्मवेयर फ्लैश (SYNC_FIRMWARE + SYNC_UPGRADE), या एक मेश-व्यापी पिवट (forward_tmp_request)।
5. समझौता करें एक ही ऑपरेशन में हर सैटेलाइट नोड से।

पूर्ण प्रोटोकॉल और कॉल-चेन विश्लेषण docs/technical-analysis.md में है; प्रजनन पद्धति docs/poc-methodology.md में है।

🛡️ उपचार

• आधिकारिक TP-Link डाउनलोड पृष्ठों (नीचे) से 1.5.0 Build 20260603 या बाद के संस्करण में अपडेट करें।
• पैच किया गया फर्मवेयर एक प्रमाणीकरण परत (tmpv2 v2.0) जोड़ता है: नियंत्रण चैनल ASSOC हैंडशेक और प्रति-सत्र UUID टोकन के साथ पोर्ट 20001 पर Dropbear SSH के पीछे चला जाता है, और tmpsvr केवल 127.0.0.1 से बंधता है। फिक्स का स्थिर सत्यापन docs/patch-validation.md में है।
• अपडेट होने तक, LAN/मेश सेगमेंट और UDP/TCP पोर्ट 20002 तक अविश्वसनीय पहुँच प्रतिबंधित करें।

🗓️ प्रकटीकरण समयरेखा

🔗 संदर्भ

• CVE रिकॉर्ड — https://www.cve.org/CVERecord?id=CVE-2026-15469
• TP-Link सलाह (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• फर्मवेयर — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ जिम्मेदार प्रकटीकरण

यह रिपॉजिटरी विक्रेता समन्वय और फिक्स के रिलीज़ के बाद प्रकाशित की गई है। वास्तविक हार्ड-कोडेड RSA-512 निजी की सामग्री और स्थिर ग्रुप ID को पूरे दस्तावेज़ में संपादित किया गया है ([REDACTED …] के रूप में दिखाया गया है) ताकि उन डिवाइसों के सीधे शोषण को रोका जा सके जिन्हें अभी तक अपडेट नहीं किया गया है। दस्तावेज़ रक्षात्मक और शैक्षिक उद्देश्यों के लिए कमज़ोरी की संरचना, मूल कारण और प्रजनन पद्धति का वर्णन करते हैं; वे टर्न-की शोषण की सामग्री प्रदान नहीं करते हैं।

📂 दस्तावेज़

📄 लाइसेंस

दस्तावेज़ीकरण और विश्लेषण CC BY 4.0 के तहत लाइसेंस प्राप्त हैं · © 2026 Junsung Ahn