شرکت TP-Link به‌تازگی به‌روزرسانی‌های امنیتی‌ای منتشر کرده است تا چهار آسیب‌پذیری را در دستگاه‌های گیت‌وی Omada برطرف کند. دو مورد از این آسیب‌پذیری‌ها دارای شدت بحرانی هستند و می‌توانند منجر به اجرای کد دلخواه مهاجم روی سیستم شوند.
🔹 جزئیات آسیب‌پذیری‌ها
| شناسه CVE | امتیاز CVSS | توضیح |
|---|---|---|
| CVE-2025-6541 | 8.6 | آسیب‌پذیری تزریق فرمان در سیستم‌عامل (OS Command Injection) که مهاجمی با دسترسی به رابط مدیریتی وب می‌تواند از آن برای اجرای دستورات دلخواه استفاده کند. |
| CVE-2025-6542 | 9.3 | آسیب‌پذیری تزریق فرمان در سیستم‌عامل که به مهاجم غیرمعتبر (بدون احراز هویت) اجازه می‌دهد از راه دور دستورات دلخواه را اجرا کند. |
| CVE-2025-7850 | 9.3 | آسیب‌پذیری تزریق فرمان که مهاجمی دارای گذرواژهٔ مدیر وب‌پرتال می‌تواند با استفاده از آن دستورات دلخواه اجرا کند. |
| CVE-2025-7851 | 8.7 | آسیب‌پذیری مدیریت ناصحیح سطح دسترسی که می‌تواند به مهاجم اجازه دهد در شرایط خاص، به دسترسی Root در سیستم‌عامل برسد. |
🔹 مدل‌ها و نسخه‌های آسیب‌پذیر
آسیب‌پذیری‌ها مدل‌ها و نسخه‌های زیر را تحت تأثیر قرار می‌دهند:
ER8411 < 1.3.3 Build 20251013 Rel.44647
ER7412-M2 < 1.1.0 Build 20251015 Rel.63594
ER707-M2 < 1.3.1 Build 20251009 Rel.67687
ER7206 < 2.2.2 Build 20250724 Rel.11109
ER605 < 2.3.1 Build 20251015 Rel.78291
ER706W < 1.2.1 Build 20250821 Rel.80909
ER706W-4G < 1.2.1 Build 20250821 Rel.82492
ER7212PC < 2.1.3 Build 20251016 Rel.82571
G36 < 1.1.4 Build 20251015 Rel.84206
G611 < 1.2.2 Build 20251017 Rel.45512
FR365 < 1.1.10 Build 20250626 Rel.81746
FR205 < 1.0.3 Build 20251016 Rel.61376
FR307-M2 < 1.2.5 Build 20251015 Rel.76743
🔹 هشدار و توصیه TP-Link
در هشدار امنیتی منتشرشده در روز سه‌شنبه، TP-Link اعلام کرد:
«مهاجمان می‌توانند از این نقص‌ها برای اجرای دستورات دلخواه روی سیستم‌عامل اصلی دستگاه استفاده کنند.»
اگرچه شواهدی از سوءاستفاده فعال از این آسیب‌پذیری‌ها تاکنون مشاهده نشده است، اما توصیه می‌شود کاربران فوراً نسخه‌های جدید فریمور را دانلود و نصب کنند تا از خطر بهره‌برداری احتمالی جلوگیری شود.
TP-Link همچنین تأکید کرده است که پس از به‌روزرسانی فریمور، کاربران باید تنظیمات دستگاه خود را بررسی کنند تا از درستی و امنیت پیکربندی‌ها اطمینان حاصل شود.
در پایان، این شرکت هشدار داد که مسئولیتی در قبال خسارات ناشی از بی‌توجهی به این توصیه‌ها برعهده نخواهد گرفت.
