CVE-2015-3035

Falha de directory traversal não autenticada na interface web de administração de vários roteadores TP-Link, explorável via PATH_INFO manipulado no endpoint /login/. Permite a qualquer atacante com acesso à interface de gerência ler arquivos arbitrários do sistema de arquivos do dispositivo, incluindo credenciais de administrador e a passphrase WPA da rede Wi-Fi — sem precisar de login prévio. A CISA incluiu a falha no catálogo KEV em 2022, sete anos após a publicação, evidência de que segue sendo usada em campanhas contra dispositivos IoT/roteadores desatualizados.

A vulnerabilidade é um path traversal clássico (CWE-22) no servidor web embarcado ('Router Webserver') desses roteadores. O componente que trata requisições ao endpoint /login/ não sanitiza sequências ".." presentes no PATH_INFO antes de resolver o caminho de arquivo correspondente no sistema de arquivos, permitindo que a requisição escape do diretório esperado e acesse qualquer arquivo legível pelo processo do servidor web — que roda com privilégios altos (root, segundo os PoCs).

O atacante controla integralmente o caminho após /login/, incluindo o número de "../" e o caminho absoluto de destino. Como o endpoint /login/ é acessível sem autenticação (faz parte do fluxo de login), a falta de sanitização do PATH_INFO se traduz diretamente em leitura arbitrária de arquivo sem qualquer credencial.

Os arquivos de maior interesse expostos pela falha incluem /etc/passwd (hashes/usuários do sistema embarcado), arquivos de configuração de rádio Wi-Fi (ex.: /tmp/ath.ap_bss, /tmp/ath1.ap_bss) que armazenam a passphrase WPA em texto e o arquivo /tmp/dropbear/dropbearpwd, que contém usuário e senha de administração do roteador no formato usuário:md5(senha) — um hash MD5 sem salt, trivial de quebrar por força bruta offline uma vez obtido.

A exploração ocorre via HTTP simples: uma requisição GET ao caminho /login/ seguida de sequências ".." e do caminho absoluto do arquivo desejado, enviada à interface de administração web do roteador. Não há necessidade de autenticação, interação do usuário, nem condição de rede especial além de conseguir alcançar a porta HTTP de gerência do dispositivo — normalmente a LAN, mas explorável remotamente em qualquer roteador com gerenciamento remoto/WAN habilitado ou exposto por erro de configuração/port forwarding.

A complexidade é baixa: a SEC Consult publicou PoC completo com request e response reais, existe módulo Metasploit e template Nuclei públicos, o que reduziu drasticamente a barreira de exploração — inclusive por ferramentas automatizadas de varredura de massa. O resultado prático é o comprometimento total da rede Wi-Fi (via passphrase) e da administração do roteador (via credenciais crackeáveis), servindo tipicamente como ponto de entrada para pivotar na rede interna ou incorporar o dispositivo a botnets IoT.

O ingresso no catálogo KEV da CISA em 2022 confirma exploração ativa observada muito depois da divulgação original — padrão comum em dispositivos SOHO que raramente recebem atualização de firmware pelo usuário final, mantendo um parque de equipamentos vulneráveis explorável indefinidamente.

A correção definitiva é atualizar o firmware para as versões corrigidas por modelo, disponibilizadas pela TP-Link (ver versions_fixed). Não há flag de configuração documentada que desative o comportamento vulnerável no servidor web embarcado — a correção está no binário do firmware, não é possível mitigar via configuração da interface administrativa.

Como paliativo quando a atualização não é viável (hardware fora de linha, sem firmware disponível para a versão de hardware específica), o controle compensatório real é eliminar a exposição da interface de gerência: desabilitar administração remota/WAN, restringir o acesso HTTP de gerência apenas à LAN confiável, e segmentar o dispositivo atrás de outro firewall que bloqueie o acesso externo à porta de administração. Isso reduz a superfície mas não elimina o risco de um atacante já presente na LAN.

Vários dos modelos listados (TL-WR740N, TL-WR741ND, TL-WR841N/ND v9/v10) já são hardware antigo e podem estar fora do ciclo de suporte da fabricante; nesse caso substituição do equipamento é a única mitigação com garantia real. Não confiar em WAF ou proxy reverso genérico como mitigação — a falha está no parsing de PATH_INFO do próprio servidor embarcado do dispositivo, e qualquer filtro precisa bloquear especificamente sequências de traversal endereçadas ao path /login/ antes de chegarem ao roteador, o que na prática só é viável com controle de acesso de rede, não com regra de assinatura genérica.

Os dispositivos afetados são roteadores SOHO de baixo custo, que em geral não mantêm log persistente de acesso HTTP à interface de administração, então detecção no próprio equipamento é praticamente inviável na maioria dos casos. Do lado de rede, o sinal a procurar é requisições HTTP GET direcionadas a /login/ contendo sequências "../" seguidas de caminhos de sistema (ex.: etc/passwd, tmp/dropbear/dropbearpwd, tmp/ath*.ap_bss) na porta de gerência web do dispositivo (tipicamente 80/443); IDS/IPS ou logs de gateway/firewall que inspecionem tráfego HTTP para esses padrões, especialmente vindos da WAN, são a única fonte de detecção prática disponível.