TP-Link ha corregido 15 vulnerabilidades en el mecanismo de aprovisionamiento automático (ZTP) de sus dispositivos Omada, las cuales podrían permitir la ejecución remota de código y el secuestro de dispositivos. Estos fallos, descubiertos por Forescout, afectan a controladores, switches y aplicaciones móviles, exponiendo datos sensibles y facilitando la infiltración en redes empresariales. Se recomienda a los usuarios actualizar urgentemente el firmware a la última versión disponible y activar la autenticación de múltiples factores (MFA).








TP-Link ha corregido 15 vulnerabilidades en el mecanismo de aprovisionamiento zero-touch (ZTP) de sus dispositivos de red Omada que podrían encadenarse con fallos revelados anteriormente para lograr la ejecución remota de código (RCE).

Los fallos fueron descubiertos por los investigadores de Vedere Labs de Forescout, quienes publicaron los detalles completos en la conferencia de seguridad Black Hat USA hace unas horas.

Omada es la línea de productos de redes empresariales de TP-Link que incluye puntos de acceso Wi-Fi, conmutadores Ethernet y PoE, puertas de enlace de internet y routers VPN.


Suelen ser utilizados por pequeñas y medianas empresas, aunque TP-Link también comercializa despliegues de grado profesional para grandes corporaciones.

ZTP es una forma de desplegar dispositivos de red sin configurar manualmente cada uno en el sitio, permitiendo que un equipo de TI o un proveedor de servicios gestionados (MSP) prepare todo remotamente basándose en una configuración predeterminada.

Diagrama de despliegue de Omada
Fuente: Forescout

Algunos de los 15 fallos descubiertos por Forescout también afectan a varios productos y servicios de TP-Link, como cámaras IP, dispositivos IoT para el hogar inteligente, aplicaciones móviles y cuentas en la nube.

Los problemas incluyen claves criptográficas hard-coded, divulgación de información, ejecución remota de código, secuestro y suplantación de dispositivos, ejecución de código en el lado del cliente e interceptación o compromiso de comunicaciones cifradas.

Forescout afirma que los atacantes podrían combinar los nuevos fallos con dos vulnerabilidades de inyección de comandos reveladas anteriormente para comprometer la cadena de confianza de Omada e infiltrarse en las redes.

“Las vulnerabilidades se dividen en cuatro categorías de impacto: ejecución de código en el lado del cliente, divulgación de información, secuestro y suplantación de dispositivos, y compromiso de comunicaciones cifradas”, explica Forescout [enlace].

“Combinados con dos CVE previamente revelados (CVE-2025-7850 y CVE-2025-7851), estos fallos permiten ataques concretos que dejan que los atacantes se infiltren en las redes a través de controladores y dispositivos cliente”.

El aviso de TP-Link [enlace] enumera 15 fallos recién revelados, de los cuales 11 recibieron los siguientes identificadores:

* CVE-2025-9289 hasta CVE-2025-9293
* CVE-2025-15544
* CVE-2025-15627 hasta CVE-2025-15631

Los cuatro hallazgos restantes no recibieron un número de seguimiento. Se refieren a la adopción de dispositivos basándose solo en el conocimiento del número de serie, credenciales predeterminadas utilizadas durante la adopción inicial, números de serie predecibles y archivos disponibles a través de enlaces de descarga temporales no autenticados.

En un escenario de ataque descrito por Forescout, un atacante remoto podría enumerar números de serie de dispositivos predecibles para obtener direcciones MAC e identificar dispositivos que esperan la adopción.

El atacante podría entonces suplantar uno de esos dispositivos, explotar una condición de carrera durante la adopción en la nube y autenticarse utilizando credenciales predeterminadas.

Esto causaría que el controlador revelara la configuración del dispositivo, incluyendo un nombre de usuario en texto claro, un hash de contraseña MD5 sin sal y, potencialmente, claves VPN.

El atacante también podría inyectar JavaScript en la interfaz administrativa del controlador para engañar a un administrador (phishing) y robar sus credenciales del controlador en la nube.

Habiendo robado las credenciales, el atacante puede entonces reconfigurar los dispositivos gestionados, crear túneles VPN hacia la red interna y explotar fallos de inyección de comandos revelados anteriormente para comprometer el equipo de red.

Descripción general del ataque de condición de carrera
Fuente: Forescout

Los fallos afectan a controladores Omada, puertas de enlace, switches, puntos de acceso, plataformas OLT, servicios en la nube y aplicaciones móviles de TP-Link.

Forescout informa haber identificado más de 1.800 controladores Omada accesibles desde internet, a pesar de que tales despliegues generalmente no están destinados a la exposición directa a internet.

En cuanto a las aplicaciones Android, Omada y Omada Guard tienen 1,1 millones de descargas en Google Play, mientras que las aplicaciones de TP-Link tienen colectivamente entre 3 y 7 millones de cuentas activas.

Se aconseja a los usuarios visitar el portal de descargas de Omada de TP-Link [enlace] para obtener las imágenes de firmware más recientes para su modelo de dispositivo.

Adicionalmente, se recomienda utilizar credenciales de administrador fuertes y únicas, habilitar la autenticación multifactor (MFA), rotar todos los secretos cuando se sospeche de un compromiso, actualizar las aplicaciones móviles y monitorear el tráfico de red en busca de actividad sospechosa.

Fuente:
BleepingComputer