15 Omada-Lücken gefährden zentrale Netzwerksteuerung

Forescout Research – Vedere Labs hat 15 bislang unbekannte Schwachstellen im Zero-Touch Provisioning (ZTP) von TP-Link Omada identifiziert. Das Ökosystem dient kleinen und mittelständischen Unternehmen zur zentralen Bereitstellung und Verwaltung von Routern, Switches, Gateways und Wireless Access Points.

Der Bericht „Zero Day Provisioning“ beschreibt, wie sich Fehler bei Gerätebereitstellung, Authentifizierung, Zugangsdaten und kryptografischen Vertrauensmechanismen zu Angriffsketten verbinden lassen. Dabei geraten nicht mehr nur einzelne Netzwerkgeräte ins Visier, sondern jene Systeme, die zahlreiche Komponenten gleichzeitig konfigurieren und steuern.

Vier Gruppen von Schwachstellen

Die 15 neuen Lücken betreffen:

• clientseitige Codeausführung durch kanalübergreifendes Skripting
• Offenlegung von Passwörtern und kryptografischen Schlüsseln
• Übernahme und Nachahmung von Geräten
• Kompromittierung verschlüsselter Kommunikation und der Vertrauenskette

Zu den Ursachen zählen ungeschützt übertragene Zugangsdaten, fest einprogrammierte Schlüssel, mangelhafte Zertifikatsprüfungen, vorhersehbare Gerätekennungen und uneingeschränkte Datei-Uploads. Hinzu kommen Schwächen, über die sich Geräte oder Controller imitieren lassen.

In Verbindung mit den bereits veröffentlichten Lücken CVE-2025-7850 und CVE-2025-7851 könnten Angreifer:

• vom Geräte-Onboarding zu Controllern, Cloud-Diensten und verwalteter Infrastruktur vordringen
• auch verwandte Produktlinien wie Festa, VIGI, Tapo und Kasa angreifen, da diese teilweise dieselben Protokolle nutzen
• eine große Installationsbasis erreichen: Omada und Omada Guard kommen zusammen auf 1,1 Millionen Android-Downloads, betroffene TP-Link-Apps insgesamt auf mehr als 70 Millionen

Automatisierung schafft zentrale Angriffspunkte

Beim ZTP beziehen Geräte Konfigurationen, Zugangsdaten und Updates automatisch von einem Controller. Das erleichtert den Betrieb verteilter Netzwerke, erzeugt aber weitreichende Vertrauensbeziehungen zwischen Geräten, Managementsystemen und Cloud-Diensten.

„Mit der zunehmenden Einführung von Zero-Touch Provisioning können Schwachstellen in diesen Systemen völlig neue Angriffsszenarien ermöglichen“, warnt Forescout-Forschungsleiter Daniel dos Santos. Ein Angreifer könnte etwa ein Gerät imitieren, das auf die Einbindung in einen Cloud-Controller wartet, Konfigurationsdaten abgreifen und Schadcode in dessen Oberfläche einschleusen.

Schutz für Provisionierung und Management

Forescout empfiehlt zunächst, betroffene Geräte, Controller, Programme und mobile Anwendungen zu aktualisieren. Zusätzlich sollten Unternehmen:

• keine einheitlichen Provisionierungspasswörter verwenden
• Gerätekennwörter durch starke, eindeutige Zugangsdaten ersetzen
• TP-Link-ID-Zugangsdaten ändern und Multi-Faktor-Authentifizierung aktivieren
• möglicherweise offengelegte VPN-Zugangsdaten und Schlüssel austauschen
• Provisionierungs- und Managementsysteme segmentieren
• Schutzmaßnahmen gegen Man-in-the-Middle-Angriffe einrichten
• Kommunikation zwischen Geräten, Controllern und Cloud-Diensten überwachen
• Defense-in-Depth- und Zero-Trust-Prinzipien anwenden

Forescout-CEO Barry Mainz warnt vor „implizitem Vertrauen zwischen Geräten, Controllern und Cloud-Diensten“. Automatisierung müsse deshalb mit kontinuierlicher Überprüfung, eingeschränkten Zugriffsrechten und klar begrenzten Auswirkungen kompromittierter Komponenten verbunden werden.

Vollständige Liste der entdeckten Schwachstellen

FSCT-2025-0003; CVE-2025-15544; CVE-2025-15627; CVE-2025-15628; CVE-2025-15629; FSCT-2025-0008; CVE-2025-15630; CVE-2025-9289; FSCT-2025-0011; CVE-2025-9290; CVE-2025-9291; FSCT-2025-0014; CVE-2025-15631; CVE-2025-9292; und CVE-2025-9293.

Weitere Artikel zum Thema: 

OWAReaper kapert Outlook-Postfächer schon beim Öffnen

Sicherheitslücke in Notepad: Microsoft patcht Command-Injection-Schwachstelle

KI spürt alte Schwachstellen auf – neue Ära der Cyberabwehr