TP-Link đã phát hành các bản cập nhật bảo mật để khắc phục bốn lỗ hổng ảnh hưởng đến các thiết bị Omada gateway, trong đó có hai lỗi nghiêm trọng có thể dẫn đến thực thi mã tùy ý.
Các lỗ hổng được đề cập dưới đây:
- CVE-2025-6541 (điểm CVSS: 8.6) - Một lỗ hổng OS command injection có thể bị kẻ tấn công đăng nhập vào giao diện quản lý web khai thác để chạy các lệnh tùy ý.
- CVE-2025-6542 (điểm CVSS: 9.3) - Một lỗ hổng OS command injection có thể bị kẻ tấn công từ xa không được xác thực khai thác để chạy các lệnh tùy ý.
- CVE-2025-7850 (điểm CVSS: 9.3) - Một lỗ hổng OS command injection có thể bị kẻ tấn công có mật khẩu quản trị viên của cổng web khai thác để chạy các lệnh tùy ý.
- CVE-2025-7851 (điểm CVSS: 8.7) - Một lỗ hổng Improper Privilege Management có thể bị kẻ tấn công khai thác để giành được quyền root shell trên hệ điều hành cơ bản trong các điều kiện hạn chế.
"Kẻ tấn công có thể thực thi các lệnh tùy ý trên hệ điều hành cơ bản của thiết bị," TP-Link cho biết trong một khuyến cáo được phát hành vào thứ Ba.
Các mẫu sản phẩm và phiên bản bị ảnh hưởng
Các vấn đề này ảnh hưởng đến các mẫu sản phẩm và phiên bản sau:
- ER8411 < 1.3.3 Build 20251013 Rel.44647
- ER7412-M2 < 1.1.0 Build 20251015 Rel.63594
- ER707-M2 < 1.3.1 Build 20251009 Rel.67687
- ER7206 < 2.2.2 Build 20250724 Rel.11109
- ER605 < 2.3.1 Build 20251015 Rel.78291
- ER706W < 1.2.1 Build 20250821 Rel.80909
- ER706W-4G < 1.2.1 Build 20250821 Rel.82492
- ER7212PC < 2.1.3 Build 20251016 Rel.82571
- G36 < 1.1.4 Build 20251015 Rel.84206
- G611 < 1.2.2 Build 20251017 Rel.45512
- FR365 < 1.1.10 Build 20250626 Rel.81746
- FR205 < 1.0.3 Build 20251016 Rel.61376
- FR307-M2 < 1.2.5 Build 20251015 Rel.76743
Mặc dù TP-Link không đề cập đến việc các lỗ hổng này đang bị khai thác trong thực tế, nhưng người dùng vẫn được khuyến cáo nên nhanh chóng tải xuống và cập nhật lên firmware mới nhất để khắc phục các lỗ hổng.
"Kiểm tra cấu hình của thiết bị sau khi nâng cấp firmware để đảm bảo tất cả các cài đặt vẫn chính xác, an toàn và phù hợp với các tùy chọn đã định," hãng bổ sung.
Hãng cũng lưu ý trong một tuyên bố miễn trừ trách nhiệm rằng họ không thể chịu bất kỳ trách nhiệm nào đối với bất kỳ hậu quả nào có thể phát sinh nếu các hành động khuyến nghị nói trên không được tuân thủ.
