✔В роутерах TP-Link исправили критическую уязвимость обхода аутентификации - «Новости»

30 марта 2026 0 Новости / Текст / Вёрстка / Заработок 0

Критическая уязвимость получила идентификатор CVE-2025-15517 и затрагивает модели Archer NX200, NX210, NX500 и NX600. Корень бага заключался в отсутствии проверки аутентификации на HTTP-сервере, из-за чего ряд CGI-эндпоинтов оказывался доступен без авторизации. В результате атакующий получал возможность выполнять привилегированные HTTP-действия, включая загрузку прошивок и изменение конфигурации устройства.

Помимо этого, в том же обновлении исправили еще три уязвимости:

CVE-2025-15605 — удален жестко закодированный криптографический ключ в механизме конфигурации, который позволял авторизованным атакующим расшифровывать конфигурационные файлы, модифицировать их и зашифровывать обратно;

CVE-2025-15518 и CVE-2025-15519 — устранены две уязвимости инъекции команд, с помощью которых злоумышленник с административным доступом мог выполнять произвольные команды.

Представители TP-Link настоятельно рекомендуют пользователям как можно скорее установить свежую прошивку:

«Если вы не выполните все рекомендуемые действия, уязвимость сохранится. TP-Link не несет ответственности за последствия, которых можно было избежать, следуя этому предупреждению».

Компания TP-Link выпустила обновления прошивки для роутеров серии Archer NX, устранив в них сразу несколько уязвимостей. Самая серьезная проблема позволяла злоумышленникам без какой-либо авторизации загрузить на устройство произвольную прошивку. Критическая уязвимость получила идентификатор CVE-2025-15517 и затрагивает модели Archer NX200, NX210, NX500 и NX600. Корень бага заключался в отсутствии проверки аутентификации на HTTP-сервере, из-за чего ряд CGI-эндпоинтов оказывался доступен без авторизации. В результате атакующий получал возможность выполнять привилегированные HTTP-действия, включая загрузку прошивок и изменение конфигурации устройства. Помимо этого, в том же обновлении исправили еще три уязвимости: CVE-2025-15605 — удален жестко закодированный криптографический ключ в механизме конфигурации, который позволял авторизованным атакующим расшифровывать конфигурационные файлы, модифицировать их и зашифровывать обратно; CVE-2025-15518 и CVE-2025-15519 — устранены две уязвимости инъекции команд, с помощью которых злоумышленник с административным доступом мог выполнять произвольные команды. Представители TP-Link настоятельно рекомендуют пользователям как можно скорее установить свежую прошивку: «Если вы не выполните все рекомендуемые действия, уязвимость сохранится. TP-Link не несет ответственности за последствия, которых можно было избежать, следуя этому предупреждению».

Цитирование статьи, картинки - фото скриншот - Rambler News Service.

Иллюстрация к статье - Яндекс. Картинки.

Есть вопросы. Напишите нам.

Общие правила поведения на сайте.