---

📋 Краткий обзор

🎯 Затронутые продукты

Затронутый модуль: mesh. Изначально проанализировано на ver1.3.1 Build 20251023 rel.43624.

🔍 Первопричина

Протокол mesh-сети Deco аутентифицирует узлы AP ↔ RE (сателлиты) с помощью группового ключа RSA, хранящегося в разделе group-info (fw_data/user_data/group-info, раздел UBI 27). Полный ключ RSA-512 — включая закрытые компоненты d, p и q — встроен в образ прошивки, и один и тот же ключ со статическим ID группы поставляется в каждом устройстве всех затронутых моделей.

Поскольку ключ является закрытым, одинаковым на всех устройствах и извлекаемым офлайн из образа прошивки, который может скачать любой желающий, атакующему никогда не нужны учётные данные конкретного устройства. Одного лишь наличия ключа достаточно для прохождения шлюза аутентификации mesh-сети (sync_slave_check в discover.lua).

Транспорт, ведущий к этому шлюзу, не предоставляет дополнительного секрета:

• tmpsvr прослушивает UDP 20002 (TDP) и TCP 20002 (TMP).
• Поле целостности TDP — это обычный CRC32 (перед вычислением контрольной суммы подставляется константа), поэтому любой изменённый пакет тривиально пересчитывается — никакого секрета не задействовано.
• Фильтр opcode_whitelist отсутствует в стандартном /etc/config/firewall, поэтому все опкоды обрабатываются без фильтрации.

💥 Воздействие

После успешной аутентификации с извлечённым ключом чувствительные операции становятся доступны без дополнительной аутентификации:

Итог: неаутентифицированный атакующий в пределах LAN может выдать себя за доверенный mesh-узел, перезаписать конфигурацию устройства и mesh-сети, прошить произвольную прошивку и скомпрометировать каждый узел mesh-сети — без физического доступа.

⛓️ Цепочка атаки

1. Извлеките закрытый ключ RSA-512 офлайн из публично доступного образа прошивки.
2. Сформируйте TDP-пакет — CRC32 пересчитывается, поэтому секретный ключ не нужен.
3. Обойдите sync_slave_check, расшифровав групповой вызов (challenge) с помощью извлечённого ключа RSA.
4. Выполните перезапись конфигурации (uci_apply), прошивку неподписанной прошивки (SYNC_FIRMWARE + SYNC_UPGRADE) или перемещение по всей mesh-сети (forward_tmp_request).
5. Скомпрометируйте каждый сателлитный узел одной операцией.

Полный анализ протокола и цепочки вызовов — в docs/technical-analysis.md; методология воспроизведения — в docs/poc-methodology.md.

🛡️ Устранение уязвимости

• Обновитесь до 1.5.0 Build 20260603 или новее с официальных страниц загрузки TP-Link (ниже).
• Исправленная прошивка добавляет уровень аутентификации (tmpv2 v2.0): канал управления перемещается за Dropbear SSH на порт 20001 с рукопожатием ASSOC и токенами UUID на сессию, а tmpsvr привязывается только к 127.0.0.1. Статическая проверка исправления — в docs/patch-validation.md.
• До обновления ограничьте недоверенный доступ к сегменту LAN/mesh и к портам UDP/TCP 20002.

🗓️ Хронология раскрытия

🔗 Ссылки

• Запись CVE — https://www.cve.org/CVERecord?id=CVE-2026-15469
• Уведомление TP-Link (FAQ 5263) — https://www.tp-link.com/us/support/faq/5263/
• Прошивка — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ Ответственное раскрытие

Этот репозиторий опубликован после координации с вендором и выпуска исправления. Фактический жёстко зашитый закрытый ключ RSA-512 и статический ID группы отредактированы по всему тексту (показаны как [REDACTED …]), чтобы предотвратить прямое использование уязвимости на устройствах, которые ещё не обновлены. Документы описывают структуру уязвимости, первопричину и методологию воспроизведения в защитных и образовательных целях; они не предоставляют готовый ключевой материал для эксплуатации.

📂 Документы

📄 Лицензия

Документация и анализ лицензированы по CC BY 4.0 · © 2026 Junsung Ahn