TP-Link varuje před dvěma zranitelnostmi umožňujícími injekci příkazů v zařízeních Omada gateway, které by mohly být zneužity k provádění libovolných příkazů operačního systému.
Brány Omada jsou prodávány jako komplexní řešení (router, firewall, VPN brána) pro malé a střední podniky a jejich popularita neustále roste.
Ačkoli oba bezpečnostní problémy vedou ke stejnému výsledku, pouze jeden z nich, identifikovaný jako CVE-2025-6542 s kritickým hodnocením závažnosti 9,3, může být zneužit vzdáleným útočníkem bez autentizace.
Druhá chyba je sledována jako CVE-2025-6541 a obdržela nižší skóre závažnosti 8,6. Může však být zneužita pouze v případě, že se útočník dokáže přihlásit do webového rozhraní pro správu.
„Libovolný příkaz OS může být proveden na branách Omada uživatelem, který se může přihlásit do webového rozhraní pro správu, nebo vzdáleným neautentizovaným útočníkem,“ uvádí se v upozornění TP-Link.
„Útočníci mohou provádět libovolné příkazy na základním operačním systému zařízení,“ dodala společnost.
Riziko, které tyto dvě zranitelnosti představují, je významné, protože může vést k úplnému kompromitování, krádeži dat, laterálnímu pohybu a perzistenci.
CVE-2025-6541 a CVE-2025-6542 ovlivňují 13 modelů bran Omada ve verzích firmwaru: ER8411, ER7412-M2, ER707-M2, ER7206, ER605, ER706W, ER706W-4G, ER7212PC, G36, G611, FR365, FR205, FR307-M2.
Výrobce vydal aktualizace firmwaru, které řeší oba problémy, a důrazně doporučuje uživatelům s postiženými zařízeními, aby aktualizace nainstalovali a po upgradu zkontrolovali konfigurace, aby se ujistili, že všechna nastavení zůstávají podle záměru.
V samostatném bulletinu TP-Link varoval před dvěma dalšími závažnými chybami, které by za určitých podmínek mohly umožnit autentizovanou injekci příkazů a root přístup.
První je CVE-2025-8750 (CVSS: 9,3), chyba injekce příkazů, kterou mohou zneužít útočníci s administrátorskými hesly pro přístup k webovému portálu Omada.
Druhá je CVE-2025-7851 (CVSS: 8,7), která by mohla útočníkovi umožnit získat přístup k shellu s root oprávněními na základním OS, omezený na oprávnění Omada.
CVE-2025-7850 a CVE-2025-7851 ovlivňují všechny modely bran Omada uvedené výše. Je třeba poznamenat, že nejnovější vydání firmwaru řeší všechny čtyři zranitelnosti.
Zdroj: bleepingcomputer.com
Zdroj: NETGURU NETWORK NEWS
