---

📋 Resumo

🎯 Produtos afetados

Módulo afetado: mesh. Originalmente analisado em ver1.3.1 Build 20251023 rel.43624.

🔍 Causa raiz

O protocolo de malha Deco autentica nós AP ↔ RE (satélite) com uma chave de grupo RSA armazenada na partição group-info (fw_data/user_data/group-info, partição UBI 27). A chave RSA-512 completa — incluindo os componentes privados d, p e q — está embutida na imagem do firmware, e a mesma chave e ID de grupo estático são enviados em todas as unidades de todos os modelos afetados.

Como a chave é privada, idêntica em todos os dispositivos e extraível offline de uma imagem de firmware que qualquer pessoa pode baixar, um atacante nunca precisa de uma credencial específica do dispositivo. Possuir a chave sozinha já satisfaz a porta de autenticação da malha (sync_slave_check em discover.lua).

O transporte que alcança essa porta não fornece nenhum segredo adicional:

• tmpsvr escuta em UDP 20002 (TDP) e TCP 20002 (TMP).
• O campo de integridade TDP é um CRC32 simples (uma constante é substituída antes do cálculo do checksum), então qualquer pacote modificado é trivialmente re-checado — nenhum segredo está envolvido.
• O filtro opcode_whitelist está ausente do /etc/config/firewall padrão, então todos os opcodes são despachados sem filtragem.

💥 Impacto

Uma vez que a autenticação passa com a chave extraída, operações sensíveis ficam acessíveis sem autenticação secundária:

Resultado final: um atacante não autenticado, adjacente à LAN, pode se passar por um nó de malha confiável, sobrescrever a configuração do dispositivo e da malha, gravar firmware arbitrário e comprometer todos os nós da malha — sem acesso físico.

⛓️ Cadeia de ataque

1. Extrair a chave privada RSA-512 offline de uma imagem de firmware publicamente baixável.
2. Forjar um pacote TDP — o CRC32 é recalculável, então nenhuma chave secreta é necessária.
3. Bypassar sync_slave_check descriptografando o desafio de grupo com RSA usando a chave extraída.
4. Executar uma sobrescrita de configuração (uci_apply), uma gravação de firmware não assinado (SYNC_FIRMWARE + SYNC_UPGRADE) ou uma movimentação por toda a malha (forward_tmp_request).
5. Comprometer todos os nós satélite em uma única operação.

A análise completa do protocolo e da cadeia de chamadas está em docs/technical-analysis.md; a metodologia de reprodução está em docs/poc-methodology.md.

🛡️ Remediação

• Atualize para 1.5.0 Build 20260603 ou posterior nas páginas oficiais de download da TP-Link (abaixo).
• O firmware corrigido adiciona uma camada de autenticação (tmpv2 v2.0): o canal de controle passa a usar Dropbear SSH na porta 20001 com um handshake ASSOC e tokens UUID por sessão, e tmpsvr vincula-se apenas a 127.0.0.1. A validação estática da correção está em docs/patch-validation.md.
• Até a atualização, restrinja o acesso não confiável ao segmento LAN/malha e às portas UDP/TCP 20002.

🗓️ Linha do tempo de divulgação

🔗 Referências

• Registro CVE — https://www.cve.org/CVERecord?id=CVE-2026-15469
• Aviso da TP-Link (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• Firmware — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ Divulgação responsável

Este repositório é publicado após a coordenação com o fornecedor e o lançamento de uma correção. O material real da chave privada RSA-512 codificada e o ID de grupo estático são redigidos em todo o conteúdo (mostrados como [REDACTED …]) para evitar a exploração direta de dispositivos que ainda não foram atualizados. Os documentos descrevem a estrutura da vulnerabilidade, a causa raiz e a metodologia de reprodução para fins defensivos e educacionais; eles não fornecem material de chave de exploração pronto para uso.

📂 Documentos

📄 Licença

Documentação e análise são licenciadas sob CC BY 4.0 · © 2026 Junsung Ahn