TP-Link предупредува за критична ранливост на извршување команди во Omada gateway уредите

TP-Link предупредува за две ранливости поврзани со вбризгување на команди (command injection) во Omada gateway уредите, кои може да се искористат за извршување произволни команди на оперативниот систем.

Omada gateway уредите се промовираат како целосни решенија (рутер, заштитен ѕид, VPN gateway) за мали и средни бизниси и нивната популарност постојано расте.

Иако двете безбедносни слабости водат до ист резултат кога се активираат, само едната од нив — идентификувана како CVE-2025-6542 со критично ниво на сериозност од 9.3, може да се искористи оддалечено и без потреба од автентикација.

Втората ранливост, означена како CVE-2025-6541, има пониска оценка на сериозност (8.6), но може да се искористи само ако напаѓачот може да се најави во веб-интерфејсот за управување.

„Произволна команда на оперативниот систем може да се изврши на Omada gateway уредите од корисник кој може да се најави на веб-интерфејсот за управување или од оддалечен неавтентициран напаѓач,“ се наведува во соопштението на TP-Link.

„Напаѓачите можат да извршуваат произволни команди на основниот оперативен систем на уредот,“ додава компанијата.

Ризикот од овие две ранливости е значителен, бидејќи може да доведе до целосна компромитација на уредот, кражба на податоци, странично движење низ мрежата и долготрајна контрола врз системот.

CVE-2025-6541 и CVE-2025-6542 ги погодуваат 13 модели на Omada gateway уреди, во фирмвер верзиите наведени подолу:

Производителот објави ажурирања на фирмверот кои ги решаваат двете проблеми и силно им препорачува на корисниците со погодени уреди да ги применат поправките и да ја проверат конфигурацијата по надградбата, за да се осигураат дека сите поставки остануваат непроменети и правилни.

Во посебен билтен, TP-Link предупреди и за уште две сериозни ранливости, кои под одредени услови може да овозможат вбризгување команди (authenticated command injection) и root пристап.

Првата е CVE-2025-8750 (CVSS: 9.3) — ранливост на вбризгување команди што може да биде искористена од нападјачи кои поседуваат администраторски лозинки за пристап до Omada веб-порталот.

Втората е CVE-2025-7851 (CVSS: 8.7) — која може да му овозможи на напаѓачот пристап до shell со root привилегии на основниот оперативен систем, ограничен на привилегиите на Omada.

CVE-2025-7850 и CVE-2025-7851 влијаат на сите Omada gateway модели наведени во претходната табела.
Важно е да се напомене дека најновата верзија на фирмверот ги решава сите четири ранливости.

Извори:

• Bleeping Computer – „TP-Link warns of critical command injection flaw in Omada gateways“ .Bleeping Computer