ZTP-Schwachstellen
Zero-Touch Provisioning wird zum Einfallstor: 15 Schwachstellen in TP-Link Omada
ZTP-Schwachstellen ermöglichen gefährliche Angriffsketten
Automatisierte Gerätebereitstellung soll Netzwerkadministratoren Arbeit abnehmen. Doch genau diese zentrale Vertrauensstellung kann zum Sicherheitsrisiko werden. Forescout-Forscher zeigen anhand von 15 neu entdeckten Schwachstellen in TP-Link Omada, wie sich Fehler im Zero-Touch Provisioning zu weitreichenden Angriffsketten verbinden lassen.
Forscher von Forescout Research – Vedere Labs haben 15 bislang unbekannte Schwachstellen im Zero-Touch Provisioning (ZTP) von TP-Link Omada identifiziert. Betroffen sind Mechanismen zur Gerätebereitstellung, Authentifizierung, Verarbeitung von Zugangsdaten sowie kryptografische Vertrauensbeziehungen.
Besonders problematisch ist dabei weniger eine einzelne Schwachstelle als deren Kombination. Nach Angaben der Forscher lassen sich mehrere Fehler zu Angriffsketten verbinden, über die Angreifer vom Onboarding einzelner Geräte bis zur Kompromittierung von Controllern, Cloud-Diensten und verwalteter Netzwerkinfrastruktur vordringen könnten.
Damit rückt ein Bereich in den Mittelpunkt, der bei der Absicherung von Netzwerkinfrastrukturen häufig weniger Beachtung erhält als Router, Switches oder Access Points selbst: die zentralen Management- und Provisionierungssysteme.
ZTP macht zentrale Managementsysteme zum attraktiven Ziel
Zero-Touch Provisioning ermöglicht es Unternehmen, Router, Switches, Gateways und Wireless Access Points weitgehend automatisiert bereitzustellen. Geräte beziehen dabei Konfigurationen, Zugangsdaten oder Software-Updates über zentrale Controller beziehungsweise Cloud-Dienste.
Gerade in größeren und verteilten Infrastrukturen reduziert das den administrativen Aufwand erheblich. Gleichzeitig entstehen jedoch weitreichende Vertrauensbeziehungen zwischen Geräten, Managementsystemen und Cloud-Infrastrukturen.
Werden diese Beziehungen nicht ausreichend abgesichert, können ausgerechnet die für die Automatisierung vorgesehenen Systeme zu einem besonders attraktiven Angriffspunkt werden.
Statt einzelne Netzwerkgeräte nacheinander zu kompromittieren, könnten Angreifer versuchen, Kontrolle über die Infrastruktur zu erlangen, die zahlreiche Geräte gleichzeitig konfiguriert und verwaltet. Vier Gruppen von Schwachstellen
Die von Forescout identifizierten Schwachstellen lassen sich vier Bereichen zuordnen:
- clientseitige Codeausführung durch Cross-Channel-Scripting
- Offenlegung sensibler Informationen wie Passwörter und kryptografischer Schlüssel
- Übernahme beziehungsweise Spoofing von Geräten
- Kompromittierung verschlüsselter Kommunikation und zugrunde liegender Vertrauensketten
Zu den konkreten Problemen gehören laut den Forschern unter anderem unsichere Übertragungen von Zugangsdaten, fest im Code hinterlegte kryptografische Schlüssel, mangelhafte Zertifikatsvalidierung, vorhersehbare Gerätekennungen und uneingeschränkte Datei-Uploads.
Einige der Schwachstellen könnten zudem dazu genutzt werden, sich gegenüber der Infrastruktur als legitimes Gerät oder als Controller auszugeben.
Angriffsketten reichen bis zu Controllern und Cloud-Diensten
Entscheidend für die Risikobewertung ist die Verkettung mehrerer Schwachstellen. Forescout beschreibt Szenarien, in denen Angreifer Schwächen verschiedener Komponenten kombinieren und dadurch schrittweise tiefer in die Managementinfrastruktur eindringen.
In einem der untersuchten Szenarien identifiziert ein externer Angreifer Geräte, die auf die Verbindung mit einem Cloud-Controller warten. Gelingt es ihm, während dieses Onboarding-Prozesses ein legitimes Gerät zu imitieren, könnte er nach Angaben der Forscher sensible Konfigurationsinformationen erhalten, Code in die Controller-Oberfläche einschleusen und anschließend Zugriff auf verwaltete Infrastruktur erlangen.
Die Untersuchung baut zudem auf den bereits zuvor veröffentlichten TP-Link-Schwachstellen CVE-2025-7850 und CVE-2025-7851 auf, die ebenfalls Bestandteil der beschriebenen Angriffsszenarien sind.
Auch weitere TP-Link-Produktfamilien betroffen
Das Problem beschränkt sich offenbar nicht vollständig auf Omada. Nach Angaben von Forescout verwenden auch TP-Link-Produktfamilien wie Festa, VIGI, Tapo und Kasa teilweise dieselben Protokolle und sind deshalb von einzelnen der identifizierten Schwachstellen betroffen.
Die potenzielle Reichweite ist entsprechend groß. Forescout zufolge kommen Omada und Omada Guard gemeinsam auf rund 1,1 Millionen Downloads im Google Play Store. Die betroffenen TP-Link-Anwendungen sollen zusammengenommen mehr als 70 Millionen Downloads verzeichnen.
Omada-Systeme werden laut TP-Link unter anderem in Bürogebäuden, Wohnanlagen, Industrieumgebungen und Lagerhäusern eingesetzt.
Automatisierung darf nicht zu blindem Vertrauen führen
Die Ergebnisse zeigen ein grundsätzliches Problem moderner Netzwerkarchitekturen. Mit zunehmender Automatisierung konzentrieren sich Zugriffsrechte, Konfigurationsinformationen und Vertrauensbeziehungen auf wenige zentrale Managementsysteme.
Daniel dos Santos, VP of Research bei Forescout, sieht deshalb einen Perspektivwechsel als notwendig an. Während sich viele Untersuchungen zur Netzwerkinfrastruktur auf einzelne Schwachstellen einzelner Geräte konzentrierten, müsse stärker betrachtet werden, welche Systeme diese Geräte bereitstellen und verwalten.
Auch Forescout-CEO Barry Mainz verweist auf die Bedeutung von Zero-Trust-Prinzipien. Vertrauensbeziehungen zwischen Geräten, Controllern und Cloud-Diensten sollten nicht automatisch als sicher gelten, sondern kontinuierlich überprüft und technisch begrenzt werden.
Unternehmen sollten Provisionierungsinfrastruktur separat absichern
Forescout empfiehlt Unternehmen zunächst, betroffene Geräte, Controller, Softwarelösungen und mobile Anwendungen auf aktuelle Versionen zu bringen.
Darüber hinaus sollten Security-Verantwortliche insbesondere folgende Maßnahmen prüfen:
- individuelle und starke Gerätepasswörter statt gemeinsamer Provisionierungskennwörter
- Austausch vorhandener Gerätezugangsdaten
- Änderung der Zugangsdaten für TP-Link IDs und Aktivierung von Multi-Faktor-Authentifizierung, sofern verfügbar
- Austausch möglicherweise offengelegter VPN-Zugangsdaten und kryptografischer Schlüssel
- Segmentierung von Provisionierungs- und Managementsystemen gegenüber anderen Netzwerkbereichen
- Schutzmaßnahmen gegen Man-in-the-Middle-Angriffe
- kontinuierliche Überwachung der Kommunikation zwischen Geräten, Controllern und Cloud-Diensten
- konsequente Anwendung von Defense-in-Depth- und Zero-Trust-Prinzipien
Die Sicherheitsforscher Stanislav Dashevskyi und Francesco La Spina stellten die Ergebnisse am 5. August 2026 auf der Black Hat USA vor.
Vollständige Liste der Schwachstellen FSCT-2025-0003, CVE-2025-15544, CVE-2025-15627, CVE-2025-15628, CVE-2025-15629, FSCT-2025-0008, CVE-2025-15630, CVE-2025-9289, FSCT-2025-0011, CVE-2025-9290, CVE-2025-9291, FSCT-2025-0014, CVE-2025-15631, CVE-2025-9292 und CVE-2025-9293.
