CVE-2025-15628

Omada: współdzielone certyfikaty umożliwiają podszywanie się pod kontrolery

CVSS 8.2v4.0pub. 2026-08-03upd. 2026-08-07

Urządzenia Omada wykorzystują wbudowane certyfikaty współdzielone w wielu wdrożeniach do ustanowienia zaufania między kontrolerami a zarządzanymi urządzeniami. Atakujący, który uzyska te certyfikaty, może podszywać się pod zaufane kontrolery lub urządzenia oraz przechwytywać chronioną komunikację.

▸ Pokaż oryginał (EN)

Affected Omada devices rely on embedded certificates that are shared across deployments to establish trust between controllers and managed devices. An attacker who obtains the embedded certificates may be able to impersonate trusted controllers or devices and intercept affected communications.

🤖 Analiza AI

Jak działa

Problem wynika z użycia statycznych, z góry osadzonych certyfikatów (CWE-798 — use of hard-coded credentials), które są identyczne we wszystkich wdrożeniach danego produktu. Ponieważ certyfikaty nie są unikalne dla konkretnej instalacji, atakujący z dostępem do jednego urządzenia Omada może wyekstrahować te certyfikaty i wykorzystać je w innym środowisku. Dysponując certyfikatem, osoba atakująca znajdująca się w tej samej sieci lokalnej może przeprowadzić atak typu man-in-the-middle, udając zaufany kontroler lub urządzenie zarządzane.

Skutki

Atakujący może podszywać się pod zaufane komponenty infrastruktury Omada (kontrolery lub urządzenia zarządzane) oraz przechwytywać i potencjalnie odczytywać ruch sieciowy wymieniony między nimi, co prowadzi do ujawnienia poufnych danych zarządczych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.omadanetworks.com/en/support/download/ oraz https://www.tp-link.com/us/support/faq/5216/. Dodatkowo zaleca się segmentację sieci zarządzania i ograniczenie dostępu do płaszczyzny zarządzania wyłącznie do zaufanych hostów.

Kogo dotyczy

Urządzenia z linii Omada — wersje wskazane w referencjach producenta (tp-link.com / omadanetworks.com)

CVSS Vector

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X