mattgsys/cve-2026-0834TP-Link TDDP認証バイパス（CVE-2026-0834）の概念実証エクスプロイトで、細工したパケットを送信して、ローカルネットワーク上のデバイスに対して工場出荷時リセットや再起動などの管理コマンドを実行します。
TP-Link デバイスデバッグプロトコル (TDDP) 認証バイパス (CVE-2026-0834)
TDDP (TP-Link Device Debug Protocol) サービスに存在する脆弱性により、ローカルネットワーク上の認証されていないリモート攻撃者が管理コマンドを実行できます。TDDPv2 パケットを処理する際、pktLength の値が 0 の場合、短絡評価により DES 復号ルーチンがスキップされます。28 バイトのパケットヘッダーを超えて送信されたデータは、復号されたペイロードデータが期待されるバッファに配置され、認証をバイパスして有効なコマンドデータとして解釈される可能性があります。
攻撃者はこれを悪用して、認証情報なしでファクトリーリセットやデバイスの再起動などの管理機能を実行できます。
この脆弱性は TDDP サービスの実装に影響します。分析されたすべてのファームウェアバージョンで、tddp_parserHandler() に脆弱なコードパターンが存在することが判明しました。ただし、すべての TP-Link デバイスで TDDP がデフォルトで有効になっているわけではありません。
この Proof of Concept (PoC) は、TP-Link Archer C20 V6 (ファームウェア 0.9.1 Build 4.19/4.20) 用に作成されました。メモリオフセット、コマンド構造、および悪用手法は、他のデバイスモデルやファームウェアバージョンでは異なる場合があります。
この PoC は、対象デバイスに対してファクトリーリセットと再起動を実行します。すべての設定が消去されます。
$ python3 cve-2026-0834.py
[*] Target: 192.168.0.1:1040
[*] Sending factory reset command (0x49)...
[+] Response from ('192.168.0.1', 1040): 020701000000001000010000f876a43eae343258cfd6e426a435156bc3813de141e9a2162714388fe3af8e0c
[*] Waiting 1 second...
[*] Sending reboot command (0x4A)...
[+] Response from ('192.168.0.1', 1040): 0207010000000010000100009b0361efe2560a92e1e6feba5bfe21cec3813de141e9a216660a7b69eca4e234
スクリプト内の TARGET_IP を、対象デバイスの IP アドレスに合わせて編集してください。