CVE-2026-19586

概要

OpenVPN Serverとして動作するよう構成されたOmadaゲートウェイにおいて、OpenVPN接続確立時のクライアント提供データの検証が不十分であることに起因する、認証前のOSコマンドインジェクション脆弱性が確認されました。認証されていないリモート攻撃者が、認証完了前にバックエンドのコマンド実行ロジックに影響を与える、細工された入力を提供する可能性があります。悪用には、OpenVPN Server機能が有効になっていること、VPNサービスが攻撃者から到達可能であること、および攻撃者がOpenVPN接続試行を開始できることが必要です。悪用に成功すると、任意のコマンド実行が可能となり、影響を受けるデバイスが完全に侵害される可能性があります。

• CVE-2026-19586PoC

  Python PoCは、TP-Link Omada SSL VPNにおける未認証のコマンドインジェクションであるCVE-2026-19586を悪用し、OpenVPNユーザー名インジェクションを通じてrootとして任意のコマンドを実行します。