È stata scoperta una nuova vulnerabilità zero-day che colpisce diversi modelli di router TP-Link. Il problema, identificato come un buffer overflow nell’implementazione del protocollo CWMP (CPE WAN Management Protocol), potrebbe consentire a un attaccante di eseguire codice arbitrario e reindirizzare le richieste DNS a server falsi.

La vulnerabilità è stata segnalata da un ricercatore indipendente noto con il nickname Mehrun (ByteRay) l’11 maggio 2024. TP-Link ha confermato l’esistenza dell’errore e sta lavorando sugli aggiornamenti per risolvere il problema. Al momento, la correzione è disponibile solo per le versioni firmware europee, mentre l’adattamento per gli Stati Uniti e altre regioni è ancora in corso.

La vulnerabilità risiede nella funzione di elaborazione dei messaggi SOAP SetParameterValues, dove le chiamate strncpy vengono eseguite senza verificare i limiti. Ciò potrebbe portare alla possibilità di eseguire codice arbitrario se la dimensione del buffer di input supera i 3072 byte. Un attacco reale può essere implementato sostituendo il server CWMP e trasmettendo una richiesta SOAP appositamente predisposta.

Se sfruttata con successo, la vulnerabilità può reindirizzare le richieste DNS a server falsi, intercettare o modificare silenziosamente il traffico non crittografato e iniettare dati dannosi nelle sessioni utente. I modelli di router vulnerabili includono Archer AX10 e Archer AX1500, ancora in vendita e molto popolari.

TP-Link consiglia agli utenti di modificare le password di amministratore di fabbrica, disabilitare CWMP se non utilizzato, aggiornare il firmware all’ultima versione e, se possibile, isolare il router dai segmenti di rete critici.

L'articolo Vulnerabilità zero-day in azione sui router TP-Link: cosa sapere fino al rilascio della patch proviene da il blog della sicurezza informatica.