Die Sicherheitsforscher von Forescout Research (Vedere Labs) haben 15 neue Schwachstellen im Netzwerk-Ökosystem TP-Link Omada offengelegt. Betroffen ist vor allem das sogenannte Zero-Touch-Provisioning (ZTP), also der Mechanismus, über den Router, Switches und Access Points automatisch von einem zentralen Controller konfiguriert werden. In Kombination mit zwei bereits früher veröffentlichten Lücken lassen sich die neuen Schwachstellen zu Angriffen verketten, mit denen sich Angreifer in ganze Netzwerke einnisten können. Die Ergebnisse sollen auf der Black Hat USA 2026 vorgestellt werden.

Warum Zero-Touch-Provisioning so heikel ist

Zero-Touch-Provisioning soll Administratoren Arbeit abnehmen. Ein neues Gerät wird angeschlossen, meldet sich beim Controller und erhält von dort seine komplette Konfiguration, inklusive Netzwerkeinstellungen, Zugangsdaten und Firmware-Updates. Das spart Zeit, schafft aber auch ein attraktives Ziel. Der Controller ist eine zentrale Vertrauensinstanz. Wer ihn kompromittiert, erreicht potenziell alle daran angebundenen Geräte auf einmal.

Genau hier setzen die Funde von Forescout an. Die Schwachstellen betreffen die Vertrauenskette zwischen Controller und Geräten und lassen sich in vier Wirkungskategorien einteilen: Ausführung von Code auf der Client-Seite, Offenlegung sensibler Informationen, Übernahme und Fälschung von Geräten sowie das Aufbrechen verschlüsselter Kommunikation. Besonders schwer wiegen fest im Code hinterlegte kryptografische Schlüssel und TLS-Zertifikate, denn ein hartcodierter Schlüssel, den ein Angreifer aus der Firmware extrahieren kann, schützt niemanden mehr.

Betroffene Produkte und Verbreitung

Die Lücken beschränken sich nicht auf einzelne Geräte. Laut Forescout sind Omada-Controller (Cloud, Hardware und Software), Gateways, Switches, Access Points, OLT-Plattformen, Cloud-Dienste und mobile Anwendungen betroffen. Über die zentrale Zertifikatslücke CVE-2025-15628 reichen die Auswirkungen bis in weitere Produktlinien hinein, darunter die VIGI-Überwachungskameras, Festa-Router sowie die Smart-Home-Reihen Tapo und Kasa.

Die Größenordnung ist beachtlich. Forescout beobachtet über 1.800 Omada-Controller, die direkt aus dem Internet erreichbar sind, obwohl das ausdrücklich nicht vorgesehen ist. Die Apps TP-Link Omada und Omada Guard kommen zusammen auf 1,1 Millionen Downloads bei Google Play. Weitere von CVE-2025-15628 und CVE-2025-9293 betroffene TP-Link-Apps wurden mehr als 70 Millionen Mal heruntergeladen. Forescout schätzt die Zahl aktiver Nutzerkonten auf drei bis sieben Millionen, was durch die gemeinsam genutzte TP-Link-Cloud-Identität zusätzlich an Gewicht gewinnt.

Wie ein Angriff ablaufen kann

Forescout beschreibt mehrere Angriffsszenarien. In einem davon sitzt der Angreifer außerhalb des Zielnetzes und will die internen Geräte übernehmen. Der Ablauf zeigt, wie sich einzelne Schwachstellen zu einer wirksamen Kette zusammensetzen:

• Zuerst sammelt der Angreifer MAC-Adressen von Omada-Geräten, indem er die vorhersehbaren, fortlaufenden Seriennummern über die Omada-API oder das Web-Dashboard durchprobiert. Ziel ist es, noch nicht adoptierte Geräte zu finden.
• Anschließend gibt er sich über eine gefälschte MAC-Adresse als ein Gerät aus, das gerade adoptiert werden soll, und nutzt eine Race-Condition (CVE-2025-15630) aus, indem er die Nachricht im Sekundentakt erneut sendet.
• Über Standard-Zugangsdaten authentifiziert sich das gefälschte Gerät am Controller. Dieser liefert daraufhin die Gerätekonfiguration aus, inklusive Klartext-Benutzername und einem ungesalzenen MD5-Hash der Zugangsdaten (CVE-2025-15544) sowie möglicherweise VPN-Schlüsseln.
• Parallel schleust der Angreifer über eine Cross-Channel-Scripting-Lücke (CVE-2025-9289) beliebigen JavaScript-Code in die Weboberfläche des Administratorkontos ein und phisht mithilfe eines CORS-Bypasses (CVE-2025-9292) die Zugangsdaten des Cloud-Controllers ab.
• Mit den Administratorrechten des Controllers kann der Angreifer dann VPN-Tunnel ins interne Netz aufbauen und die dort angebundenen Geräte über weitere Lücken wie CVE-2025-7850 angreifen.

Am Ende dieser Kette stehen Klartext-Benutzernamen, ungesalzene MD5-Passwort-Hashes, VPN-Schlüssel und Cloud-Zugangsdaten offen, und der Angreifer bewegt sich mit legitimen Verwaltungsrechten durch das Netzwerk. Weil ZTP-Komponenten im Netz besonders vertrauenswürdig sind und oft von Firewall-Ausnahmen profitieren, ist ein solcher Angriff für klassische Erkennungssysteme schwer zu bemerken.

TP-Link hat für einen Teil der Schwachstellen Updates veröffentlicht. 11 der 15 Funde erhielten CVE-Kennungen, darunter CVE-2025-15544, CVE-2025-15627, CVE-2025-15628, CVE-2025-15629, CVE-2025-15630, CVE-2025-15631, CVE-2025-9289, CVE-2025-9290, CVE-2025-9291, CVE-2025-9292 und CVE-2025-9293. Für vier Befunde (FSCT-2025-0003, FSCT-2025-0008, FSCT-2025-0011 und FSCT-2025-0014) hat TP-Link nach Angaben von Forescout keine CVE-IDs vergeben. Sie betreffen unter anderem die Adoption allein über die Seriennummer, Standard-Zugangsdaten bei der Erstadoption und vorhersehbare Seriennummern.