TP-Link corrige 15 failles dans le provisioning automatique de ses équipements Omada

TP-Link a publié le 3 août des correctifs pour 15 vulnérabilités touchant l'écosystème Omada, sa gamme de contrôleurs, points d'accès, switches et passerelles vendue explicitement aux petites et moyennes entreprises. Les failles ont été trouvées par les chercheurs de Forescout Vedere Labs, qui les ont présentées à Black Hat USA et DEF CON début août après une divulgation coordonnée avec l'éditeur. BleepingComputer, qui a repris les travaux de Forescout le 4 août, et l'avis de sécurité publié par TP-Link lui-même confirment la liste des correctifs.

Onze des quinze failles ont reçu un numéro CVE : CVE-2025-9289 à CVE-2025-9293, CVE-2025-15544 et CVE-2025-15627 à CVE-2025-15631, auxquelles s'ajoutent deux failles plus anciennes déjà connues, CVE-2025-7850 et CVE-2025-7851. Les quatre dernières n'ont pas reçu de CVE et restent identifiées par leur référence interne Forescout (FSCT-2025-0003, 0008, 0011 et 0014). Aucune source consultée ne publie de score CVSS pour ces vulnérabilités : ni TP-Link, ni Forescout, ni BleepingComputer n'en donnent.

Ce que le provisioning zéro-touch expose

Le ZTP, zero-touch provisioning, est la fonction qui permet à un installateur de brancher un point d'accès ou un switch Omada sur le réseau et de le voir se configurer automatiquement, sans intervention manuelle sur chaque appareil. C'est ce mécanisme d'adoption automatique que Forescout a ciblé.

Deux familles de défauts ressortent des travaux de Forescout. La première tient à une situation de compétition (race condition) au moment où un nouvel appareil rejoint le réseau : un attaquant peut usurper l'adresse MAC de l'appareil légitime pendant cette fenêtre pour intercepter sa configuration, potentiellement des identifiants ou des paramètres réseau sensibles. La seconde tient à des clés cryptographiques codées en dur dans les contrôleurs Omada, qui affaiblissent la chaîne de confiance TLS censée authentifier les communications entre le contrôleur et les appareils. Combinées à des failles d'injection de commande déjà corrigées l'an dernier (CVE-2025-7850 et CVE-2025-7851), ces défauts ouvrent un chemin qui va de la simple découverte d'un appareil sur le réseau jusqu'à un accès interne plus large, selon Forescout.

Le périmètre couvert par l'avis TP-Link va au-delà des seuls équipements réseau : contrôleurs Omada (cloud, matériel et logiciel), passerelles, switches, points d'accès, plateformes OLT, mais aussi les services cloud TP-Link et les applications mobiles associées.

Pas d'exploitation active, mais une divulgation publique

Aucune des sources consultées ne rapporte d'exploitation en conditions réelles. Il s'agit d'une recherche de sécurité classique : Forescout a signalé les failles à TP-Link, l'éditeur a publié un correctif avant la présentation publique à Black Hat et DEF CON. Ce calendrier réduit le risque immédiat, mais il a aussi un effet inverse bien connu du secteur : une fois les détails techniques rendus publics à une conférence, la fenêtre entre divulgation et tentative d'exploitation par des acteurs opportunistes se referme vite. C'est cette fenêtre que le correctif du 3 août sert à fermer.

Ce qu'il faut vérifier aujourd'hui

1. Ouvrez le portail Omada (local ou cloud) et vérifiez la version de firmware de votre contrôleur, de vos switches, de vos points d'accès et de vos passerelles. TP-Link recommande de mettre à jour l'ensemble du parc vers les dernières images disponibles, sans indiquer de numéro de version plancher unique valable pour tous les modèles — le correctif se télécharge modèle par modèle depuis le portail.
2. Si vous utilisez le provisioning zéro-touch pour déployer des appareils à distance sans intervention manuelle, c'est la fonction directement visée par les travaux de Forescout : traitez la mise à jour comme prioritaire.
3. Si vous ne l'utilisez pas, l'exposition est plus limitée mais pas nulle : les clés codées en dur affectent la chaîne de confiance du contrôleur indépendamment du mode d'adoption des appareils.
4. Activez la double authentification sur le compte TP-Link Cloud ou Omada qui donne accès à l'administration du contrôleur, et changez les mots de passe par défaut sur chaque appareil si ce n'est pas déjà fait.
5. Si votre installation réseau a été faite par un prestataire, demandez-lui de confirmer par écrit que le firmware a été mis à jour depuis le 3 août sur l'ensemble des équipements Omada installés chez vous, pas seulement sur le contrôleur.

TP-Link n'a pas communiqué de délai ni de statistique sur la part de son parc Omada déjà mise à jour depuis la publication des correctifs.