CVE-2025-9377
TP-Link Multiple Routers
2025-09-03
TP-Link Archer C7(EU) and TL-WR841N/ND(MS) contain an OS command injection vulnerability that exists in the Parental Control page. The impacted products could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.
Технический анализ и план устранения
Суть уязвимости
Уязвимость CVE-2025-9377 представляет собой внедрение команд ОС (OS Command Injection) в веб-интерфейсе маршрутизаторов TP-Link, конкретно в разделе "Родительский контроль" (Parental Control). Затронутые модели: TP-Link Archer C7 (EU) и TL-WR841N/ND (MS). Злоумышленник может передать специально сформированные данные через поля ввода на странице родительского контроля, что приведет к выполнению произвольных команд операционной системы на устройстве с максимальными привилегиями. Это позволяет полностью скомпрометировать маршрутизатор, перехватывать сетевой трафик или использовать устройство в составе ботнета. Критическая проблема заключается в том, что данные устройства достигли конца жизненного цикла (End-of-Life / End-of-Service), поэтому официальных патчей безопасности от производителя не будет.
Как исправить
Поскольку устройства имеют статус EoL/EoS, официального обновления прошивки для закрытия уязвимости не существует. Рекомендуемые действия: - Полностью прекратить использование уязвимых маршрутизаторов TP-Link Archer C7(EU) и TL-WR841N/ND(MS) в корпоративной и домашней сети. - Заменить оборудование на современные модели, которые поддерживаются производителем и получают актуальные обновления безопасности. - В качестве альтернативного решения для энтузиастов (без гарантий вендора) — установить стороннюю открытую прошивку (например, OpenWrt или DD-WRT), если ваша аппаратная ревизия поддерживается. Это полностью заменит заводскую ОС и удалит уязвимый веб-интерфейс TP-Link.
Временные меры
Если немедленная замена устройства невозможна, необходимо максимально снизить поверхность атаки: - Полностью отключите функцию "Родительский контроль" (Parental Control) в веб-интерфейсе маршрутизатора. - Строго запретите удаленное управление маршрутизатором (Remote Management) со стороны интернета (WAN-порта). - Измените стандартный пароль администратора на сложный и длинный, чтобы минимизировать риск эксплуатации через подделку межсайтовых запросов (CSRF) или брутфорс. - Ограничьте доступ к веб-панели администрирования из локальной сети (LAN), разрешив вход только с доверенных IP-адресов администратора. - Для поиска потенциально уязвимых устройств с открытыми веб-интерфейсами в вашей локальной сети выполните сканирование:
nmap -p 80,443 --open -sV 192.168.0.0/24
- Для проверки того, не доступна ли панель управления из интернета (команду необходимо выполнять из внешней сети, заменив IP на ваш внешний адрес):
nmap -Pn -p 80,8080 <ВАШ_ВНЕШНИЙ_IP>