В роутерах TP-Link исправили критическую уязвимость обхода аутентификации

[Article Publisher]

Компания TP-Link выпустила обновления прошивки для роутеров серии Archer NX, устранив в них сразу несколько уязвимостей. Самая серьезная проблема позволяла злоумышленникам без какой-либо авторизации загрузить на устройство произвольную прошивку.

Критическая уязвимость получила идентификатор CVE-2025-15517 и затрагивает модели Archer NX200, NX210, NX500 и NX600. Корень бага заключался в отсутствии проверки аутентификации на HTTP-сервере, из-за чего ряд CGI-эндпоинтов оказывался доступен без авторизации. В результате атакующий получал возможность выполнять привилегированные HTTP-действия, включая загрузку прошивок и изменение конфигурации устройства.


Помимо этого, в том же обновлении исправили еще три уязвимости:

• CVE-2025-15605 — удален жестко закодированный криптографический ключ в механизме конфигурации, который позволял авторизованным атакующим расшифровывать конфигурационные файлы, модифицировать их и зашифровывать обратно;
• CVE-2025-15518 и CVE-2025-15519 — устранены две уязвимости инъекции команд, с помощью которых злоумышленник с административным доступом мог выполнять произвольные команды.

Представители TP-Link настоятельно рекомендуют пользователям как можно скорее установить свежую прошивку:

«Если вы не выполните все рекомендуемые действия, уязвимость сохранится. TP-Link не несет ответственности за последствия, которых можно было избежать, следуя этому предупреждению».