---

📋 In sintesi

🎯 Prodotti interessati

Modulo interessato: mesh. Analizzato originariamente su ver1.3.1 Build 20251023 rel.43624.

🔍 Causa principale

Il protocollo mesh Deco autentica i nodi AP ↔ RE (satellite) con una chiave di gruppo RSA memorizzata nella partizione group-info (fw_data/user_data/group-info, partizione UBI 27). La chiave RSA-512 completa — inclusi i componenti privati d, p e q — è incorporata nell'immagine del firmware, e la stessa chiave e lo stesso ID di gruppo statico sono presenti in ogni unità di ogni modello interessato.

Poiché la chiave è privata, identica su tutti i dispositivi e estraibile offline da un'immagine del firmware che chiunque può scaricare, un attaccante non ha mai bisogno di una credenziale specifica del dispositivo. Il solo possesso della chiave soddisfa il gate di autenticazione mesh (sync_slave_check in discover.lua).

Il trasporto che raggiunge quel gate non fornisce alcun segreto aggiuntivo:

• tmpsvr è in ascolto su UDP 20002 (TDP) e TCP 20002 (TMP).
• Il campo di integrità TDP è un semplice CRC32 (una costante viene sostituita prima del calcolo del checksum), quindi qualsiasi pacchetto modificato può essere facilmente ricalcolato — non è coinvolto alcun segreto.
• Il filtro opcode_whitelist è assente dal firewall predefinito /etc/config/firewall, quindi tutti gli opcode vengono gestiti senza filtri.

💥 Impatto

Una volta superata l'autenticazione con la chiave estratta, le operazioni sensibili sono raggiungibili senza autenticazione secondaria:

Risultato netto: un attaccante non autenticato, adiacente alla LAN, può impersonare un nodo mesh fidato, sovrascrivere la configurazione del dispositivo e della mesh, installare firmware arbitrario e compromettere ogni nodo della mesh — senza accesso fisico.

⛓️ Catena di attacco

1. Estrarre la chiave privata RSA-512 offline da un'immagine del firmware pubblicamente scaricabile.
2. Forgiare un pacchetto TDP — il CRC32 è ricalcolabile, quindi non è necessaria alcuna chiave segreta.
3. Bypassare sync_slave_check decrittando la sfida di gruppo RSA con la chiave estratta.
4. Eseguire una sovrascrittura della configurazione (uci_apply), un flash di firmware non firmato (SYNC_FIRMWARE + SYNC_UPGRADE) o un pivot su tutta la mesh (forward_tmp_request).
5. Compromettere ogni nodo satellite in una singola operazione.

L'analisi completa del protocollo e della catena di chiamate è in docs/technical-analysis.md; la metodologia di riproduzione è in docs/poc-methodology.md.

🛡️ Rimedio

• Aggiornare a 1.5.0 Build 20260603 o successive dalle pagine di download ufficiali TP-Link (sotto).
• Il firmware corretto aggiunge un livello di autenticazione (tmpv2 v2.0): il canale di controllo si sposta dietro Dropbear SSH sulla porta 20001 con un handshake ASSOC e token UUID per sessione, e tmpsvr si lega solo a 127.0.0.1. La validazione statica della correzione è in docs/patch-validation.md.
• Fino all'aggiornamento, limitare l'accesso non fidato al segmento LAN/mesh e alla porta UDP/TCP 20002.

🗓️ Cronologia della divulgazione

🔗 Riferimenti

• Record CVE — https://www.cve.org/CVERecord?id=CVE-2026-15469
• Advisory TP-Link (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• Firmware — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ Divulgazione responsabile

Questo repository è pubblicato dopo il coordinamento con il vendor e il rilascio di una correzione. Il materiale effettivo della chiave privata RSA-512 hard-coded e l'ID di gruppo statico sono oscurati in tutto il documento (mostrati come [REDACTED …]) per prevenire lo sfruttamento diretto di dispositivi non ancora aggiornati. I documenti descrivono la struttura della vulnerabilità, la causa principale e la metodologia di riproduzione a scopo difensivo ed educativo; non forniscono materiale chiave di sfruttamento pronto all'uso.

📂 Documenti

📄 Licenza

La documentazione e l'analisi sono concesse in licenza CC BY 4.0 · © 2026 Junsung Ahn