Declaración sobre la vulnerabilidad RCE de Spring Framework
TP-Link es consciente de la vulnerabilidad RCE CVE-2022-22965 en Spring Framework. Según la información oficial, los requisitos previos para esta vulnerabilidad son los siguientes.
- Spring Framework: 5.3.0 a 5.3.17, 5.2.0 a 5.2.19, las versiones anteriores no compatibles también se ven afectadas
- JDK 9 o superior
- Apache Tomcat como contenedor de Servlet
- Empaquetado como WAR (GUERRA)
- dependencia spring-webmvc o spring-webflux
En TP-Link, la seguridad del cliente es lo primero. TP-Link está monitoreando e investigando de cerca la vulnerabilidad y seguirá actualizando este aviso a medida que haya más información disponible.
Productos de TP-Link potencialmente afectados:
DPMS (DeltaStream PON Management System) utiliza Spring Framework y es compatible con Java 8 (OpenJDK-8) y superior desde la versión 5.0. Sin embargo, su uso de Spring Framework no cumple con los requisitos previos anteriores y nuestra simulación de ataque/escaneo de vulnerabilidad resulta en una falla.
Sin embargo, dado que la naturaleza de la vulnerabilidad es más general, le recomendamos que baje a Java 8 (OpenJDK-8) para ejecutar DPMS. TP-Link actualizará Spring Framework integrado para corregir la vulnerabilidad en actualizaciones posteriores.
Productos TP-Link no afectados:
Todo el enrutador Wi-Fi
Todo Wi-Fi de malla (Deco)
Todo el extensor de rango
Todos los adaptadores Powerline
Todos los productos Wi-Fi móvil
Todos los enrutadores SMB, Switch, Omada EAP y Pharos CPE
Todos los productos VIGI
Todos los productos GPON
APP: Tether, Deco, Tapo, Kasa, tpMiFi, Omada
Descargo de responsabilidad
La vulnerabilidad permanecerá si no realiza todas las acciones recomendadas. TP-Link no puede asumir ninguna responsabilidad por las consecuencias que podrían haberse evitado siguiendo las recomendaciones de esta declaración.
