چکیده

آسیب‌پذیری در گیت‌وی‌های Omada، Omada Pro و Festa شرکت TP-Link به مهاجم دارای دسترسی مدیریتی اجازه می‌دهد با سوءاستفاده از قابلیت دیباگ پنهان، به root shell سیستم‌عامل دستگاه دسترسی پیدا کند. این ضعف امنیتی می تواند منجر به کنترل کامل گیت وی، تغییر تنظیمات، رهگیری ترافیک شبکه و حتی تبدیل دستگاه به بخشی از یک بات‌نت ‌شود.

توضیحات

آسیب‌پذیری CVE‑2025‑7851 یک ضعف امنیتی با شدت بالا در گیت‌وی‌های سری Omada، Omada Pro و Festa شرکت TP‑Link است که به‌دلیل مدیریت نادرست سطح دسترسی مطابق با CWE‑269 ایجاد می‌شود. این ضعف ناشی از وجود یک قابلیت داخلی دیباگ (debug functionality) است که معمولاً برای کاربران قابل مشاهده نیست و باید غیرفعال باشد اما در نسخه‌های آسیب‌پذیر به‌طور ناخواسته قابل فعال‌سازی است.

در این آسیب پذیری، مهاجم دارای دسترسی مدیریتی معتبر (Admin Privileges) روی دستگاه می‌تواند این قابلیت پنهان را فعال کرده و به یک root shell در سیستم‌عامل زیرساختی دستگاه دست یابد. بهره‌برداری نیازمند دو شرط اصلی است:

1. مهاجم باید به شبکه لوکال (LAN یا WLAN) دستگاه دسترسی داشته باشد.
2. مهاجم باید دسترسی مدیریتی معتبر داشته باشد.

با این حال، در سناریوهایی که رمزهای پیش‌فرض تغییر داده نشده‌اند یا اعتبارنامه‌ها از طریق حملات جانبی قابل دستیابی هستند، ریسک بهره‌برداری به‌طور چشمگیری افزایش پیدا می‌کند. دستیابی مهاجم به root shell معادل کنترل کامل دستگاه است. مهاجم می‌تواند هر دستور سطح سیستم‌عامل را اجرا کند، فایل‌ها و سرویس‌ها را تغییر داده یا غیرفعال کند، بدافزار یا بکدور دائمی نصب کند و حتی جریان ترافیک شبکه را شنود، هدایت یا دستکاری نماید. این موضوع می‌تواند منجر به پیامدهای جدی مانند نقض محرمانگی، یکپارچگی، دسترس‌پذیری و تبدیل دستگاه به بخشی از بات‌نت و ایجاد تهدیدهای گسترده در شبکه شود.

شرکت TP‑Link برای مدل‌های آسیب‌پذیر، فریم‌ور پچ‌شده منتشر کرده و توصیه می‌کند کاربران علاوه بر نصب نسخه جدید، رمز عبور مدیریتی را پس از به‌روزرسانی تغییر دهند تا احتمال سوءاستفاده از اعتبارنامه‌های قبلی کاهش یابد.

CVSS

Score	Severity	Version	Vector String
8.7	HIGH	4.0	CVSS:4.0/AV:A/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:H

لیست محصولات آسیب پذیر

Versions	Product
affected from 0 before ER8411 1.3.3, ER7412-M2 1.1.0, ER707-M2 1.3.1, ER7206 2.2.2, ER605 2.3.1, ER706W 1.2.1, ER706W-4G 1.2.1, ER7212PC 2.1.3	Omada gateways
affected from 0 before FR365 1.1.10, FR205 1.0.3, FR307 1.2.5	Festa gateways
affected from 0 before G36 1.1.4, G611 1.2.2	Omada Pro gateways

لیست محصولات بروز شده

Versions	Product
ER8411 1.3.3, ER7412-M2 1.1.0, ER707-M2 1.3.1, ER7206 2.2.2, ER605 2.3.1, ER706W 1.2.1, ER706W-4G 1.2.1, ER7212PC 2.1.3	Omada gateways
FR365 1.1.10, FR205 1.0.3, FR307 1.2.5	Festa gateways
G36 1.1.4, G611 1.2.2	Omada Pro gateways

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که TP-Link را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

Approx. Usage in .ir Domain via Google (Total Pages)	Search Query (Dork)	Product
1,160,000	site:.ir “TP-Link”	TP-Link

نتیجه گیری

این آسیب‌پذیری با شدت بالا در گیت‌وی‌های سری Omada، Omada Pro و Festa شرکت TP‑Link به مهاجمی که از قبل دارای دسترسی مدیریتی معتبر است، اجازه می‌دهد تحت شرایط مشخص و از طریق فعال‌سازی قابلیت دیباگ داخلی، کنترل کامل دستگاه را در سطح root به‌دست آورد. با توجه به سطح بالای ریسک، امکان سوءاستفاده در شبکه‌های لوکال و پیامدهای گسترده برای امنیت شبکه، اجرای اقدامات زیر برای پیشگیری از بهره‌برداری ضروری است:

• به‌روزرسانی فوری فریم‌ور: نصب آخرین نسخه منتشرشده از سوی TP‑Link مؤثرترین و قطعی‌ترین روش برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد.
• تغییر رمز عبور مدیریتی: پس از به‌روزرسانی، رمز عبور قبلی را به یک رمز عبور قوی و منحصربه‌فرد تغییر دهید.
• محدودسازی دسترسی مدیریتی به شبکه امن: مدیریت دستگاه را فقط از LAN یا VPN امن مجاز کرده و از هرگونه دسترسی راه دور غیرضروری جلوگیری کنید.
• بازبینی تنظیمات مدیریتی و دیباگ: اطمینان حاصل کنید که هیچ دسترسی یا پورت دیباگ غیرضروری فعال نباشد و در صورت وجود محدود شود.
• مانیتورینگ فعال: لاگ‌های مدیریتی و ترافیک شبکه را برای شناسایی تلاش‌های مشکوک یا فعالیت‌های غیرعادی بررسی کنید.

اجرای این اقدامات، به‌ویژه به‌روزرسانی فریم‌ور، کنترل دسترسی و مانیتورینگ، در قالب یک استراتژی دفاع چندلایه (Defense in Depth)، ریسک بهره‌برداری از آسیب‌پذیری را به‌طور قابل توجهی کاهش می‌دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

نقطه ورودی حمله همان دسترسی مدیریتی معتبر است. مهاجم ابتدا با استفاده از credential های معتبر (یا رمزهای پیش‌فرض، یا به‌دست‌آمده از حملات جانبی)، وارد پنل مدیریتی روتر می‌شود. این مرحله هیچ بردار نفوذ راه دور ارائه نمی‌دهد و کاملاً به ضعف مدیریت دسترسی و پیکربندی اشتباه بستگی دارد.

Privilege Escalation (TA0004)

مسیر بهره‌برداری شامل ارتقای سطح دسترسی از یک ادمین عادی پنل وب به سطح root سیستم‌عامل دستگاه است. این ارتقا به دلیل عدم تفکیک مناسب نقش‌ها و قرارداشتن قابلیت دیباگ در دسترس مهاجم انجام می‌شود و محدودیت‌های مدیریتی معمول کاملاً بی‌اثر می‌ماند.

Defense Evasion (TA0005)

فعال‌سازی دیباگ از همان مسیرهای مدیریتی عادی انجام می‌شود و هیچ رفتاری تولید نمی‌کند که برای IDS/IPS یا لاگ‌های امنیتی واضح باشد. چون قابلیت رسمی داخلی است، ابزارهای امنیتی شبکه معمولاً آن را به‌عنوان «عملیات قانونی» تلقی می‌کنند.

Credential Access (TA0006)

بعد از دستیابی به shell سطح root، مهاجم می‌تواند فایل‌های پیکربندی، رمزهای ذخیره‌شده، توکن‌ها، کلیدهای داخلی و اطلاعات مدیریتی شبکه را مستقیماً از سیستم فایل استخراج کند.

Discovery (TA0007)

با دسترسی root، مهاجم می‌تواند توپولوژی کامل شبکه، MAC table، رابط‌ها، مسیرهای روتینگ، DHCP leases و ارتباطات WAN/LAN را کشف کند و زیرساخت داخلی را نقشه‌برداری کند.

Lateral Movement (TA0008)

دسترسی سطح root روی گیت‌وی اجازه می‌دهد مهاجم به‌عنوان نقطه pivot وارد دیگر دستگاه‌های داخل شبکه شود

Collection (TA0009)

گیت‌وی در موقعیت ایده‌آل برای جمع‌آوری داده است. مهاجم می‌تواند ترافیک عبوری، درخواست‌های کاربران، session tokenها، و حتی credentialهای سرویس‌های داخلی را به‌صورت passive یا active جمع‌آوری کند.

Exfiltration (TA0010)

از آنجا که روتر به اینترنت دسترسی دارد، مهاجم می‌تواند داده‌های جمع‌آوری‌شده را از هر کانال خروجی HTTP/S، SSH، DNS tunneling و غیره منتقل کند و به‌سختی قابل تشخیص خواهد بود.

Impact (TA0040)

کنترل root روی گیت‌وی یعنی تأثیر مستقیم روی محرمانگی، یکپارچگی و دسترس‌پذیری شبکه. مهاجم می‌تواند تنظیمات را تغییر دهد، سرویس‌ها را از کار بیندازد، بک‌دور دائمی نصب کند و دستگاه را به بخشی از بات‌نت تبدیل کند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-7851
2. https://www.cvedetails.com/cve/CVE-2025-7851/
3. https://support.omadanetworks.com/en/document/108456/
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-7851
5. https://vuldb.com/?id.329112
6. https://www.forescout.com/blog/new-tp-link-router-vulnerabilities-a-primer-on-rooting-routers/
7. https://nvd.nist.gov/vuln/detail/CVE-2025-7851
8. https://cwe.mitre.org/data/definitions/269.html