CVE-2021-41653

Funkcja PING dostępna w panelu zarządzania routerem nie weryfikuje poprawnie danych wprowadzanych przez użytkownika w polu adresu IP. Atakujący może umieścić w tym polu spreparowany payload zawierający złośliwe polecenia systemowe (command injection). Podatność klasyfikowana jako CWE-94 (improper control of code generation) pozwala na wstrzyknięcie i wykonanie dowolnego kodu na poziomie systemu operacyjnego urządzenia. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika.

Atakujący może zdalnie wykonać dowolny kod na routerze, co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem — w tym modyfikację konfiguracji sieci, przechwytywanie ruchu sieciowego oraz potencjalne wykorzystanie urządzenia jako punktu wejścia do sieci lokalnej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.tp-link.com/us/press/security-advisory/). Do czasu aktualizacji firmware zaleca się ograniczenie dostępu do panelu administracyjnego routera wyłącznie z zaufanych adresów IP oraz wyłączenie zdalnego zarządzania urządzeniem od strony sieci WAN.

TP-Link TL-WR840N EU w wersji sprzętowej v5 z oprogramowaniem firmware do wersji TL-WR840N(EU)_V5_171211 włącznie.

Szczegóły techniczne podatności oraz proof-of-concept zostały opublikowane przez badacza pod adresem https://k4m1ll0.com/cve-2021-41653.html. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania podatności w środowiskach produkcyjnych.