CVE-2022-24355

El router TP-Link TL-WR940N tiene un buffer overflow basado en pila en la forma en que analiza las extensiones de nombres de archivo: los datos proporcionados por el usuario se copian a un búfer de pila de longitud fija sin una verificación de longitud, y los atacantes de red adyacente pueden explotarlo —sin autenticación— para ejecutar código como root. Esto es un compromiso completo del router desde una posición en el mismo segmento de red, sin credenciales necesarias, cortesía de un clásico overflow por falta de verificación de límites.

El detalle de delimitación que importa es "de red adyacente": esto no es rastreo por toda internet, es un atacante que ya está en la red local (un invitado, un dispositivo comprometido, alguien en el mismo Wi-Fi) convirtiendo esa adyacencia en root en la puerta de enlace. Esa es una escalada muy realista en entornos compartidos o ligeramente segmentados, y root en el router significa interceptación de tráfico, manipulación de DNS y persistencia fuera de las defensas de host. El pedigrí de ZDI indica un fallo analizado concretamente y weaponizable en lugar de uno teórico, así que donde se cumple la precondición es serio.

Nuestro enfoque es la adyacencia y la segmentación, ya que el exploit requiere alcance local. Identificaríamos cualquier TL-WR940N en el build especificado, trataríamos como de alta prioridad cualquiera que sirva redes no confiables o de invitados, y buscaríamos actualizaciones de firmware mientras nos aseguramos de que estos dispositivos de nivel de consumo no estén puenteando segmentos confiables y no confiables. Donde no haya actualizaciones disponibles, el control práctico es limitar quién comparte red con el dispositivo: cortar la adyacencia es lo que neutraliza un ataque que no puede ocurrir de forma remota.