TP-Link Omada: 15 flaw nel provisioning automatico aprono le…

Forescout ha scoperto 15 vulnerabilità nel provisioning automatico di TP-Link Omada. La catena con CVE-2025-7850 e CVE-2025-7851 porta a furto di credenziali e

Il 4 agosto 2026 TP-Link ha pubblicato aggiornamenti correttivi per quindici vulnerabilità nel meccanismo Zero-Touch Provisioning della piattaforma Omada, utilizzata da piccole e medie imprese per gestire switch, access point e gateway da un'unica console cloud. La ricerca, condotta da Forescout Vedere Labs e presentata alla conferenza Black Hat USA 2026, dimostra come la catena di fiducia progettata per semplificare il deployment possa essere compromessa quando i nuovi flaw vengono concatenati con vulnerabilità precedentemente divulgate.

Punti chiave

Quindici flaw nel meccanismo ZTP di TP-Link Omada, di cui undici con identificatore CVE, espongono il processo di adozione automatica dei dispositivi.
La catena di attacco documentata da Forescout include impersonazione del dispositivo, disclosure di credenziali in chiaro e hash MD5 non salati, cross-site scripting, furto di credenziali cloud. L'esecuzione remota di codice come root richiede la concatenazione con CVE-2025-7850, una vulnerabilità di command injection precedentemente divulgata.
CVE-2025-7851, anch'essa precedentemente divulgata, abilita accesso root SSH non autorizzato tramite codice di debug residuo e rappresenta un percorso alternativo di escalation in condizioni diverse.
Oltre 1.800 controller Omada risultano accessibili da Internet secondo i rilevamenti di Forescout, ampliando la superficie d'attacco oltre i confini della rete locale.
Dati cifrati con AES-256 attraverso chiave hardcoded ("who are you?") e certificati TLS condivisi espongono anche le linee VIGI, Festa, Tapo e Kasa al rischio di impersonazione incrociata.

Come funziona la catena: dal numero di serie al tunnel VPN

Il meccanismo Zero-Touch Provisioning è pensato per ridurre l'intervento umano: un dispositivo appena acceso si registra automaticamente presso il controller cloud e riceve configurazioni, policy e aggiornamenti. Forescout ha dimostrato che questa automazione si inverte in un vettore sistemico.

L'attacco inizia con l'enumerazione dei numeri di serie, prevedibili per struttura. Da lì l'aggressore estrae gli indirizzi MAC associati, impersona il dispositivo durante la fase di cloud adoption sfruttando le credenziali di default admin/admin, e ottiene in risposta username in chiaro e hash MD5 non salati della password. L'interfaccia accetta inoltre stringhe di versione firmware non sanificate, che permettono di iniettare JavaScript per il phishing delle credenziali dell'amministratore.

Con il controllo del controller, l'attaccante crea tunnel VPN. A questo punto, per ottenere shell root, è necessario concatenare la compromissione con CVE-2025-7850: command injection nel campo chiave privata WireGuard della Web UI dopo autenticazione amministrativa. Questa vulnerabilità, divulgata in precedenza da Forescout, richiede che l'attaccante abbia già ottenuto accesso amministrativo al controller.

CVE-2025-7851, anch'essa precedentemente divulgata, abilita accesso root SSH non autorizzato tramite codice di debug residuo nel binario cli_server. Secondo il National Vulnerability Database, si tratta di improper privilege management, non di command injection. Rappresenta un percorso alternativo di escalation in scenari dove le condizioni di attivazione differiscono da quelle di CVE-2025-7850.

Central control means central failure: compromettere un controller significa ereditare ogni dispositivo che gestisce — HelpNetSecurity, parafrasando l'analisi Forescout

Secondo le stime di Forescout, il rate necessario per l'enumerazione è di circa diciassette richieste al secondo per coprire un migliaio di indirizzi MAC. La criticità non sta in un singolo bug, ma nella concatenazione di debolezze architetturali che trasformano ogni punto di ingresso in propagazione automatica.

Quindici vulnerabilità, quattro senza identificatore CVE

TP-Link ha assegnato undici identificatori CVE ai nuovi flaw scoperti da Forescout. I rimanenti quattro — relativa adozione tramite conoscenza del serial number, credenziali di default durante l'adozione iniziale, seriali prevedibili e link di download temporanei non autenticati — non ne hanno ricevuto uno secondo quanto riferito da BleepingComputer, in quanto il vendor li ha classificati a bassa gravità.

Quattro CVE nel dossier dispongono di punteggi ufficiali CVSS 4.0 nel National Vulnerability Database. CVE-2025-6542, injection di comandi del sistema operativo da remoto senza autenticazione, registra 9.3. CVE-2025-7850, injection di comandi tramite chiave privata WireGuard dopo autenticazione amministrativa, ottiene anch'esso 9.3. CVE-2025-7851, accesso root tramite codice di debug residuo nel binario cli_server, è valutato 8.7. CVE-2025-6541, injection di comandi da utente autenticato, raggiunge 8.6.

Punteggi CVSS 3.1 verificati non risultano disponibili per queste vulnerabilità nei materiali esaminati.

Chiavi hardcoded e collisione tra cinque famiglie di prodotti

Oltre alle quindici vulnerabilità ZTP, Forescout ha identificato una chiave AES-256 hardcoded con stringa "who are you?" per la cifratura delle password dispositivo, e un certificato TLS con chiave privata condivisa tra hardware e software controller Omada. La stessa catena di certificazione interessa le linee VIGI (telecamere di sorveglianza), Festa (router), Tapo e Kasa (dispositivi smart home).

La condivisione di materiale crittografico attraverso cinque famiglie di prodotti espande il perimetro di rischio oltre l'ecosistema Omada. Un aggressore che comprometta il materiale da un dispositivo Festa può impersonare controllori Omada, e viceversa. Le password sono archiviate come hash MD5 non salati, cifrate con AES-256 usando chiave hardcoded.

Forescout ha stimato che le applicazioni Android Omada e Omada Guard registrano 1,1 milioni di download su Google Play, mentre l'intero parco account attivi delle app TP-Link si colloca tra 3 e 7 milioni. Questa base installata amplifica il raggio di azione di eventuali campagne di phishing o impersonazione dell'app.

Quattrocentoventisei giorni e due flaw non sanabili via firmware

Vedere Labs ha trasmesso le segnalazioni a TP-Link nel giugno 2025. La divulgazione pubblica è avvenuta 426 giorni dopo, nel corso della presentazione Black Hat USA 2026. Due delle vulnerabilità non possono essere corrette tramite aggiornamento firmware.

Secondo HelpNetSecurity, TP-Link ha indicato tempi di risoluzione per i problemi di manufacturing e logistica entro il terzo trimestre 2026. La natura hardware dei seriali prevedibili e della distribuzione del materiale crittografico richiede interventi sulla catena di produzione, non solo patch software.

Cosa cambia

Il caso Omada illustra un pattern ricorrente nell'infrastruttura di rete gestita centralmente: la convenienza operativa del provisioning zero-touch si traduce in dipendenza da una singola entità di fiducia. Quando quell'entità presenta falle concatenate, il raggio di impatto supera il singolo dispositivo e si estende all'intera rete aziendale.

I 426 giorni tra segnalazione e divulgazione pubblica, pur rientrando in una disclosure coordinata, lasciano una finestra estesa di esposizione per gli operatori che non applicano patch tempestivamente. La presenza di oltre 1.800 controller esposti a Internet, nonostante le architetture Omada non siano progettate per l'esposizione diretta, indica una discrepanza tra design presunto e deployment effettivo.

La condivisione di certificati TLS e chiavi di cifratura tra cinque famiglie di prodotti TP-Link solleva questioni sulla segmentazione del rischio in ambito Internet of Things. L'impersonazione incrociata tra ecosistemi diversi — da telecamere VIGI a controller Omada — non richiede vulnerabilità nuove, ma solo l'accesso al materiale crittografico condiviso.

Chiusura

TP-Link ha rilasciato aggiornamenti firmware per i controller Omada e ha pubblicato un advisory ufficiale che conferma la disclosure coordinata con Forescout. L'advisory del vendor nota che l'impatto pratico di ciascuna vulnerabilità dipende dall'architettura di deployment, e che la compromissione richiede la concatenazione di più falle piuttosto che lo sfruttamento isolato di una singola.

Undici dei quindici flaw ricevono identificatori CVE; sette di questi non sono stati specificati nei materiali disponibili al momento della pubblicazione. Quattro vulnerabilità rimangono senza CVE, classificate dal vendor a bassa gravità. Due richiedono correzioni hardware con tempistica stimata per il terzo trimestre 2026.

Fonti: BleepingComputer, HelpNetSecurity, The Hacker News, SecurityWeek, National Vulnerability Database, TP-Link Support

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti