Komunikat dotyczący podatności bezpieczeństwa na routerze TP-Link Archer AX53 (CVE-2025-15607 i CVE-2025-15608)

Opis podatności bezpieczeństwa i jej wpływ:

CVE-2025-15607: Wstrzykiwanie uwierzytelnionych komend w usłudze mscd

Podatność wstrzykiwania komend na routerze Archer AX53 v1 występuje w funkcjonalności debugowania mscd, z powodu niewystarczającej obsługi danych wejściowych. Umożliwia przekierowanie dziennika do dowolnych plików i powiązanie niezwalidowanej zawartości pliku do poleceń powłoki, sprawiając, że uwierzytelniona osoba atakująca może wstrzykiwać i wykonywać dowolne komendy.

Pomyślne wykorzystanie luki może zapewnić możliwość wykonywania szkodliwych komend i przejęcia kontroli nad urządzeniem.

CVSS v4.0 Wynik: 7.3 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

CVE-2025-15608: Przepełnienie bufora w funkcji Network Probe

Ta podatność Archer'a AX53 v1 jest spowodowana niewystarczającą sanityzacją w logice obsługi sygnałów (probe handling) urządzenia, gdzie niezwalidowane parametry mogą wyzwolić przepełnienie bufora oparte na stosie, które powoduje awarię dotkniętej usługi, a w szczególnych warunkach może umożliwić zdalne wykonywanie kodu poprzez złożone techniki heap-spray.

Pomyślne wykorzystanie luki może skutkować powtarzalną niedostępnością usługi i pewnych scenariuszach zapewnić atakującemu przejęcie kontroli nad urządzeniem.

CVSS v4.0 Wynik: 7.7 / Wysoki

CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

Lista produktów i wersji oprogramowań związanych z opisaną podatnością:

Zalecenia:

Stanowczo zalecamy użytkownikom wspomnianych urządzeń podjęcie następujących czynności:

1. Pobierz i zaktualizuj oprogramowanie do najnowszej wersji, aby naprawić podatności zabezpieczeń.

Dla poduktów z Europy: Centrum pobierania dla Archer AX53 | TP-Link Polska

Uwaga: Archer AX53 nie jest sprzedawany w Stanach Zjednoczonych.

Zastrzeżenie:

Jeśli nie wykonasz powyższych zalecanych działań, podatność bezpieczeństwa będzie nadal występować. TP-Link nie ponosi jakiejkolwiek odpowiedzialności za konsekwencje których można było uniknąć, stosując się do zalecanych działań w tym oświadczeniu.