Multiple Archer Devices

Die Schwachstelle betrifft mehrere WLAN-Router der Archer-Reihe sowie weitere Router-Modelle von TP-Link. Es handelt sich um einen Directory-Traversal-Fehler (Verzeichniswechsel) im Web-Anmeldebereich der Geräte. Die Komponente, die Anfragen an den Anmeldepfad verarbeitet, prüft die übergebenen Pfadangaben nicht ausreichend. Schleust ein Angreifer in den Pfadanteil der Anfrage eine Zeichenfolge mit »..« (zwei Punkte) ein, kann er aus dem vorgesehenen Verzeichnis ausbrechen und sich zu beliebigen Stellen im Dateisystem bewegen. Auf diese Weise lassen sich Dateien auslesen, auf die normalerweise kein Zugriff bestehen sollte – etwa Konfigurations- oder Systemdateien, die vertrauliche Informationen enthalten können. Der Angriff erfolgt aus der Ferne und setzt keine Anmeldung voraus, da bereits der Anmeldepfad selbst manipuliert wird. Betroffen sind Privat- und Heimnetzwerke ebenso wie kleinere Umgebungen, in denen diese Router eingesetzt werden.