CVE-2020-24363
TP-Link TL-WA855RE
2025-09-02
TP-link TL-WA855RE contains a missing authentication for critical function vulnerability. This vulnerability could allow an unauthenticated attacker (on the same network) to submit a TDDP_RESET POST request for a factory reset and reboot. The attacker can then obtain incorrect access control by setting a new administrative password. The impacted products could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.
Технический анализ и план устранения
Суть уязвимости
Уязвимость CVE-2020-24363 в ретрансляторах Wi-Fi TP-Link TL-WA855RE связана с отсутствием проверки подлинности для критически важной функции в протоколе отладки (TDDP).
Злоумышленник, уже находящийся в той же локальной сети (проводной или беспроводной), может отправить специально сформированный POST-запрос с командой TDDP_RESET.
Устройство обрабатывает этот запрос без запроса пароля, что приводит к несанкционированному сбросу до заводских настроек и принудительной перезагрузке.
После перезагрузки ретранслятор возвращается к стандартным настройкам, позволяя злоумышленнику подключиться к нему, установить новый пароль администратора и получить полный контроль над сетевым оборудованием.
Как исправить
Определите аппаратную версию (Hardware Version) вашего устройства, посмотрев на заводскую наклейку на задней панели (например, V1, V2, V3, V4 или V5). Перейдите на официальный сайт поддержки TP-Link и найдите страницу загрузок для модели TL-WA855RE вашей аппаратной версии. Проверьте дату выпуска последней прошивки и наличие исправлений безопасности. Если актуальная прошивка с патчем доступна, скачайте ее и установите через веб-интерфейс устройства (раздел "Системные инструменты" -> "Обновление встроенного ПО"). Если ваша аппаратная версия получила статус End-of-Life (EoL) или End-of-Service (EoS) и обновления для нее больше не выпускаются, производитель настоятельно рекомендует прекратить использование данного продукта. В случае EoL/EoS выведите уязвимое устройство из эксплуатации и замените его на современную модель, получающую обновления безопасности.
Временные меры
Обеспечьте строгий контроль доступа к вашей локальной сети, так как эксплойт требует нахождения атакующего в одном широковещательном домене с устройством. Используйте современные стандарты шифрования (WPA2-AES или WPA3) и сложный пароль для вашей основной Wi-Fi сети. Отключите функцию WPS на основном маршрутизаторе и самом ретрансляторе, чтобы исключить возможность обхода пароля Wi-Fi. Включите фильтрацию по MAC-адресам на основном роутере, разрешив доступ к сети только известным и доверенным устройствам. Настройте мониторинг трафика в сети для выявления попыток эксплуатации протокола TDDP (обычно это UDP порт 1040). Для отслеживания подозрительного трафика TDDP в сети используйте следующую команду:
tcpdump -i any udp port 1040 -X
Если ретранслятор находится в отдельном VLAN, заблокируйте маршрутизацию пакетов на порт TDDP между сегментами сети на вашем основном шлюзе:
iptables -A FORWARD -p udp --dport 1040 -j DROP