---

📋 概览

🎯 受影响产品

受影响模块：mesh。最初分析版本为 ver1.3.1 Build 20251023 rel.43624。

🔍 根本原因

Deco 网状协议使用存储在 group-info 分区（fw_data/user_data/group-info，UBI 分区 27）中的 RSA 组密钥对 AP ↔ RE（卫星）节点进行认证。完整的 RSA-512 密钥——包括私钥组件 d、p 和 q——被嵌入固件镜像中，且所有受影响型号的每台设备都出厂预置相同的密钥和静态组 ID。

由于该密钥是私有的、在所有设备上完全相同，并且可以离线提取自任何人都能下载的固件镜像，攻击者无需任何设备特定的凭据。仅持有该密钥即可通过网状认证门禁（discover.lua 中的 sync_slave_check）。

到达该门禁的传输通道不提供任何额外的秘密：

• tmpsvr 监听 UDP 20002 (TDP) 和 TCP 20002 (TMP)。
• TDP 完整性字段是普通的 CRC32（计算校验和之前会替换一个常量），因此任何修改过的数据包都可以轻松重新计算校验和——不涉及任何秘密。
• 默认的 /etc/config/firewall 中缺少 opcode_whitelist 过滤器，因此所有操作码都会在无过滤的情况下被分发。

💥 影响

一旦使用提取的密钥通过认证，敏感操作即可在无二次认证的情况下被访问：

最终结果： 未认证的局域网邻近攻击者可以冒充受信任的网状节点、覆盖设备和网状配置、刷入任意固件，并在无需物理接触的情况下攻陷网状网络中的每个节点。

⛓️ 攻击链

1. 提取 — 从公开可下载的固件镜像中离线提取 RSA-512 私钥。
2. 伪造 — 伪造 TDP 数据包——CRC32 可重新计算，因此无需任何密钥。
3. 绕过 — 使用提取的密钥对组挑战进行 RSA 解密，绕过 sync_slave_check。
4. 执行 — 执行配置覆盖（uci_apply）、未签名固件刷写（SYNC_FIRMWARE + SYNC_UPGRADE）或全网状网络横向渗透（forward_tmp_request）。
5. 攻陷 — 单次操作即可攻陷所有卫星节点。

完整的协议和调用链分析见 docs/technical-analysis.md；复现方法见 docs/poc-methodology.md。

🛡️ 修复建议

• 从官方 TP-Link 下载页面（见下文）更新至 1.5.0 Build 20260603 或更高版本。
• 修补后的固件增加了认证层（tmpv2 v2.0）：控制通道移至 Dropbear SSH 端口 20001，并带有 ASSOC 握手和每会话 UUID 令牌，且 tmpsvr 仅绑定到 127.0.0.1。修复的静态验证见 docs/patch-validation.md。
• 在更新之前，限制不受信任的访问到 LAN/网状网段以及 UDP/TCP 端口 20002。

🗓️ 披露时间线

🔗 参考链接

• CVE 记录 — https://www.cve.org/CVERecord?id=CVE-2026-15469
• TP-Link 安全公告（FAQ 5263）— https://www.tp-link.com/us/support/faq/5263/
• 固件 — Deco XE75 · Deco XE5300 · Deco WE10800
• CWE-321 — https://cwe.mitre.org/data/definitions/321.html

⚠️ 负责任披露

本仓库在厂商协调并发布修复之后发布。实际的硬编码 RSA-512 私钥材料和静态组 ID 在全文均已编辑（显示为 [REDACTED …]），以防止对尚未更新的设备进行直接利用。这些文档描述了漏洞结构、根本原因和复现方法，仅供防御和教育目的使用；不提供即用型利用密钥材料。

📂 文档

📄 许可证

文档和分析依据 CC BY 4.0 许可 · © 2026 Junsung Ahn