tony102741/cve-2026-15469CVE-2026-15469の勧告と技術分析：TP-Link DecoルーターにおけるハードコードされたRSA-512メッシュグループ秘密鍵に関するもので、根本原因、影響、および防御的研究のためのPoC手法を含みます。
ハードコードされたメッシュグループ秘密鍵 — TP-Link Deco XE75 / XE5300 / WE10800
共有のRSA-512メッシュグループ秘密鍵がファームウェアに組み込まれており、LAN隣接の攻撃者が信頼されたメッシュノードになりすまし、設定を上書きし、未署名ファームウェアを書き込み、メッシュ全体にピボットできる可能性があります。
English · 한국어
| フィールド | 値 |
|---|---|
| CVE ID | CVE-2026-15469 |
| 脆弱性種別 | CWE-321 — ハードコードされた暗号鍵の使用 |
| 攻撃パターン | CAPEC-115 — 認証バイパス |
| 深刻度 | 7.7 — HIGH (CVSS 4.0) |
| ベクター | AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L |
| CNA / 割当機関 | TP-Link Systems Inc. |
| 公開日 | 2026-08-24 |
| 修正バージョン | 1.5.0 Build 20260603 以降 |
| 発見者 | Junsung Ahn |
影響を受けるモジュール: mesh。当初は ver1.3.1 Build 20251023 rel.43624 で分析されました。
Decoメッシュプロトコルは、group-info パーティション（fw_data/user_data/group-info、UBIパーティション27）に格納されたRSAグループ鍵でAP ↔ RE（サテライト）ノードを認証します。完全なRSA-512鍵 — 秘密要素 d、p、q を含む — がファームウェアイメージに埋め込まれており、同じ鍵と静的グループIDが影響を受ける全モデルの全ユニットに出荷されています。
鍵は秘密であり、全デバイスで同一であり、誰でもダウンロードできるファームウェアイメージからオフラインで抽出可能であるため、攻撃者はデバイス固有の認証情報を必要としません。鍵を保持するだけでメッシュ認証ゲート（discover.lua の sync_slave_check）を満たすことができます。
そのゲートに到達するトランスポートは追加の秘密を提供しません:
tmpsvr は UDP 20002 (TDP) と TCP 20002 (TMP) で待ち受けます。opcode_whitelist フィルタはデフォルトの /etc/config/firewall に存在しないため、すべてのオペコードがフィルタリングなしでディスパッチされます。抽出した鍵で認証が通ると、二次認証なしで機密操作に到達できます:
最終結果: 認証されていないLAN隣接の攻撃者が、信頼されたメッシュノードになりすまし、デバイスおよびメッシュ設定を上書きし、任意のファームウェアを書き込み、物理アクセスなしでメッシュ内のすべてのノードを侵害できます。
sync_slave_check をバイパスします。uci_apply）、未署名ファームウェアの書き込み（SYNC_FIRMWARE + SYNC_UPGRADE）、またはメッシュ全体へのピボット（forward_tmp_request）を実行します。完全なプロトコルおよびコールチェーン分析は docs/technical-analysis.md にあります。再現方法論は docs/poc-methodology.md にあります。
1.5.0 Build 20260603 以降に更新してください。tmpv2 v2.0）を追加します: 制御チャネルはASSOCハンドシェイクとセッションごとのUUIDトークンを備えたDropbear SSH（ポート20001）の背後に移動し、tmpsvr は 127.0.0.1 のみにバインドされます。修正の静的検証は docs/patch-validation.md にあります。このリポジトリは、ベンダーとの調整と修正のリリース後に公開されています。実際のハードコードされたRSA-512秘密鍵素材と静的グループIDは、未更新デバイスの直接的な悪用を防ぐために全体で編集されています（[REDACTED …] として表示）。文書は防御および教育目的で脆弱性の構造、根本原因、再現方法論を説明しており、ターンキー型のエクスプロイト鍵素材は提供しません。
文書および分析は CC BY 4.0 の下でライセンスされています · © 2026 Junsung Ahn
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|
| TP-Link Deco XE75 v3 | < 1.5.0 Build 20260603 | 1.5.0 Build 20260603 |
| TP-Link Deco XE5300 v3.6 | < 1.5.0 Build 20260603 | 1.5.0 Build 20260603 |
| TP-Link Deco WE10800 v3.6 | < 1.5.0 Build 20260603 | 1.5.0 Build 20260603 |
| 操作 | パス | 影響 |
|---|
| 設定の上書き | inspect_and_save_subconfig → uci_apply | UCI全体の置換 — ファイアウォール、DNS、ルーティング、管理者認証情報 |
| 未署名ファームウェアの書き込み | SYNC_FIRMWARE + SYNC_UPGRADE | RSA/ECDSA署名チェックなし、攻撃者が指定したMD5のみ → 永続的なrootバックドア |
| メッシュ全体へのピボット | forward_tmp_request | ルーター自身の管理者認証情報を使用して任意のオペコードを全REに中継 |
| 一括設定プッシュ | SYNC_CONFIG | サテライトの user-config nvramパーティションを上書き |
| トポロジ列挙 | fetch_subconfig | 全ノードのIP、ファームウェア/設定バージョン、役割を読み取り |
| 日付 | マイルストーン |
|---|
| 2025-10-23 | 脆弱なファームウェアビルドを分析（ver1.3.1 Build 20251023 rel.43624） |
| 2026-03-19 | ベンダーのベータ修正ファームウェアリリース（ver1.4.999、rel57690 / rel57838）、静的に検証 |
| 2026-06-03 | 修正版リリースビルド（1.5.0 Build 20260603） |
| 2026-07-10 | CVE-2026-15469 予約 |
| 2026-08-24 | CVE-2026-15469 がTP-Link（CNA）により公開 |
| English | 한국어 |
|---|
| 技術分析 | technical-analysis.md | technical-analysis.ko.md |
| PoC方法論 | poc-methodology.md | poc-methodology.ko.md |
| パッチ検証 | patch-validation.md | patch-validation.ko.md |