CVE-2025-15035：TP-Link Archer AXE75 v1.6中的CWE-20输入验证不当漏洞

严重性: 中等 类型: 漏洞 CVE: CVE-2025-15035

TP-Link Archer AXE75 v1.6（VPN模块）中的输入验证不当漏洞，允许经过身份验证的相邻攻击者删除任意服务器文件，可能导致关键系统文件丢失以及服务中断或功能降级。 此问题影响 Archer AXE75 v1.6：版本号 ≤ 构建版本 20250107。

技术摘要

CVE-2025-15035 是一个被归类为 CWE-20（输入验证不当）的漏洞，影响构建版本号不晚于 20250107 的 TP-Link Archer AXE75 v1.6 路由器固件的 VPN 模块。该缺陷允许一个经过身份验证且具备相邻网络访问权限的攻击者（即攻击者必须位于相同的本地或逻辑上相邻的网络段）构造恶意输入，从而导致设备上的服务器文件被任意删除。这种对输入参数的不当验证未能将文件删除操作限制在授权或安全的路径内，使得攻击者能够删除关键系统文件。此漏洞的后果包括可能丢失重要的系统文件，这可能导致服务中断、路由器功能降级，甚至设备不稳定。CVSS 4.0 向量表明攻击复杂度低，无需用户交互，需要高权限但无需绕过认证，总体严重性评分为中等的 6.9 分。目前尚未有公开的利用报告，但该漏洞对网络的可用性和完整性构成了风险，特别是在依赖这些路由器进行 VPN 连接的环境中。缺乏补丁链接表明修复方案可能尚未公开，这强调了需要进行谨慎的网络分段和监控。

潜在影响

对于欧洲组织而言，此漏洞可能会破坏对安全远程访问和办公室间通信至关重要的 VPN 服务，可能导致停机时间和生产力损失。关键系统文件的删除也可能需要设备重新配置或更换，从而产生运营成本。在敏感环境中依赖这些路由器的组织，如果攻击者利用此缺陷削弱安全控制，可能面临网络不稳定或暴露风险增加。鉴于需要经过身份验证的相邻访问权限，在网络分段较少或攻击者可以获得本地网络存在的环境（如大型企业、大学或公共 Wi-Fi 网络）中，威胁更为显著。对机密性的影响有限，但网络服务的完整性和可用性面临风险。如果网络中断阻碍了安全监控或数据访问控制，这可能间接影响对欧洲数据保护法规的合规性。

缓解建议

欧洲组织应立即清查其网络基础设施，以识别任何运行易受攻击固件版本（≤ 构建版本 20250107）的 TP-Link Archer AXE75 v1.6 设备。在官方补丁发布之前，组织应实施严格的网络分段，限制对这些路由器的管理和 VPN 接口的访问，确保只有受信任且经过身份验证的设备才能在相邻网络上通信。在路由器管理界面上强制执行强身份验证和访问控制，以防止未经授权的访问。监控网络日志和设备行为，查找异常的文件删除活动或服务中断。如果未使用，考虑禁用 VPN 模块，或者一旦有可用更新，用更新的硬件或固件版本替换易受攻击的设备。与 TP-Link 支持渠道联系，获取有关补丁或变通方案的更新。此外，实施能够识别网络设备上异常命令或文件操作的入侵检测系统。

受影响国家

德国、法国、英国、意大利、西班牙、荷兰、波兰、比利时、瑞典、奥地利

来源: CVE 数据库 V5 发布时间: 2026年1月9日 星期五