CVE-2022-24355

O roteador TP-Link TL-WR940N tem um buffer overflow baseado em pilha na forma como analisa extensões de nome de arquivo: dados fornecidos pelo usuário são copiados para um buffer de pilha de comprimento fixo sem uma verificação de comprimento, e atacantes em rede adjacente podem explorá-lo — sem autenticação — para executar código como root. Isto é o comprometimento total do roteador a partir de uma posição no mesmo segmento de rede, sem credenciais necessárias, cortesia de um clássico overflow por ausência de verificação de limites.

O detalhe de delimitação que importa é "rede adjacente": não é varredura em escala de internet, é um atacante que já está na rede local (um convidado, um dispositivo comprometido, alguém no mesmo Wi-Fi) convertendo essa adjacência em root no gateway. Essa é uma escalada bastante realista em ambientes compartilhados ou pouco segmentados, e root no roteador significa interceptação de tráfego, adulteração de DNS e persistência fora das defesas de host. A procedência ZDI indica uma falha concretamente analisada e transformável em arma, e não uma teórica, então, onde a pré-condição é atendida, é séria.

Nossa abordagem é adjacência e segmentação, já que o exploit exige alcance local. Identificaríamos qualquer TL-WR940N no build especificado, trataríamos como alta prioridade qualquer um que atenda redes não confiáveis ou de convidados e buscaríamos atualizações de firmware, garantindo ao mesmo tempo que esses dispositivos de consumo não estejam fazendo a ponte entre segmentos confiáveis e não confiáveis. Onde não houver atualizações disponíveis, o controle prático é limitar quem compartilha uma rede com o dispositivo — cortar a adjacência é o que neutraliza um ataque que não pode acontecer remotamente.