Kritische Schwachstellen in TP-Link Archer NX-Routern: Details und Patches
TP-Link hat Firmware-Updates für die Modelle Archer NX200, NX210, NX500 und NX600 veröffentlicht, die mehrere kritische Schwachstellen beheben. Die Hauptlücke – CVE-2025-15517 – ermöglichte das anonyme Hochladen beliebiger Firmware über ungeschützte CGI-Endpunkte auf dem HTTP-Server. Dadurch war eine vollständige Kompromittierung des Geräts ohne Authentifizierung möglich.
Die Updates beheben zudem Probleme mit der Konfigurationskryptographie und Command-Injection-Schwachstellen, die die Router anfällig für Privilege-Escalation-Angriffe machten. Im Folgenden eine Aufschlüsselung jeder Schwachstelle mit technischen Details.
Aufschlüsselung von CVE-2025-15517: Unautorisierter Firmware-Upload
Diese Schwachstelle resultierte aus fehlenden Authentifizierungsprüfungen im HTTP-Server des Routers. Ein Angreifer konnte spezifische CGI-Endpunkte erreichen, die privilegierte Aktionen ausführen:
- Änderung der Konfiguration.
- Hochladen und Anwenden neuer Firmware.
- Volle Kontrolle über das Gerät.
Ohne Authentifizierung konnte jeder remote Angreifer mit Netzwerkzugriff die Firmware überschreiben und einen Backdoor oder bösartigen Code einbauen. Die Schwere wird durch einen hohen CVSS-Score bestätigt – Potenzial für RCE ohne Aufwand.
Der Patch in der aktualisierten Firmware führt zwingende Session- und Token-Prüfungen für alle sensiblen Endpunkte ein und blockiert anonymen Zugriff.
CVE-2025-15605: Hardcodierter Crypto-Key in der Konfiguration
Der Konfigurationsmechanismus verwendete einen statischen Crypto-Key, der hart im Code codiert war. Ein autorisierter Angreifer mit Zugriff auf Konfigurationsdateien konnte:
- Die Konfiguration entschlüsseln.
- Sensible Daten analysieren oder extrahieren (Wi-Fi-Passwörter, Accounts).
- Änderungen vornehmen.
- Die Datei mit einem gefälschten Key wieder verschlüsseln.
Das ermöglichte Angriffsketten: von Traffic-Interception bis hin zu persistentem Zugriff. Das Update erzeugt dynamische Keys basierend auf Hardware-Metriken des Geräts und stärkt den Schutz vor Reverse Engineering.
Command Injections: CVE-2025-15518 und CVE-2025-15519
Zwei Schwachstellen ermöglichten Low-Privilege-Admins die Ausführung beliebiger Shell-Befehle auf dem Router. Mögliche Vektoren:
- CVE-2025-15518: Über Parameter in der Weboberfläche, die nicht vor Shell-Metacharacters (
;,&&,|) geschützt waren. - CVE-2025-15519: In Diagnose-API-Endpunkten, wo Eingaben nicht validiert wurden.
Beispielszenario: ping 127.0.0.1; rm -rf /etc/config – Löschen kritischer Dateien. Die Patches fügen Eingabe-Sanitization, Command-Whitelisting und kontextabhängige Validierung hinzu.
| Schwachstelle | CVSS | Angriffsvektor | Behebungsstatus |
|--------------|------|---------------|-----------------|
| CVE-2025-15517 | 9.8 | Remote RCE | Behoben |
| CVE-2025-15605 | 7.5 | Config-Tampering | Behoben |
| CVE-2025-15518 | 8.1 | Command Injection | Behoben |
| CVE-2025-15519 | 8.1 | Command Injection | Behoben |
Update- und Migrationsempfehlungen
- Laden Sie die Firmware von der TP-Link-Website für Ihr Modell herunter (Archer NX200/210/500/600).
- Aktualisieren Sie über die Weboberfläche oder TFTP-Recovery, falls gebrickt.
- Nach dem Update alle Passwörter ändern und Logs auf verdächtige Aktivitäten prüfen.
- Verwenden Sie VLAN-Segmentierung, um den Router von IoT-Geräten zu isolieren.
TP-Link betont: Ohne den Patch bleiben die Geräte gefährdet, und der Hersteller garantiert keinen Schutz vor Ausnutzung.
Wichtige Erkenntnisse
- CVE-2025-15517 ermöglicht RCE ohne Auth: Vollständiger remote Firmware-Austausch.
- Hardcodierter Key in Config: Einfacher Zugriff auf Passwörter und Einstellungen.
- Command Injection für Admins: Privilege Escalation via Shell.
- Pflicht-Update: Patches verfügbar; Risiken bestehen ohne sie fort.
- Focus Mittel-/Senior-Level: Prüfen Sie CGI-Endpunkte und Crypto in Ihren Embedded-Projekten.
— Editorial Team
Noch keine Kommentare.