Trusted DesignCVE-2020-24363 の詳細
CVEの情報
説明:
TP-Link TL-WA855RE V5 20200415-rel37464 devices allow an unauthenticated attacker (on the same network) to submit a TDDP_RESET POST request for a factory reset and reboot. The attacker can then obtain incorrect access control by setting a new administrative password.
CVE更新日: 2020-08-31 16:15:15.380000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2025-09-02
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.221870000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2020-24363は、TP-Link TL-WA855RE Wi-Fiレンジエクステンダーに存在する認証の欠如の脆弱性です。
1. 脆弱性の概要
TP-Link TL-WA855RE V5ファームウェアバージョン20200415-rel37464およびそれ以前のデバイスにおいて、認証されていない攻撃者が同じネットワーク上からTDDP_RESET POSTリクエストを送信することで、デバイスの工場出荷時リセットと再起動を強制できる脆弱性です。これにより、攻撃者は新しい管理者パスワードを設定し、不正なアクセス制御を取得することが可能になります。
1.1 影響 この脆弱性が悪用されると、攻撃者はデバイスの完全な管理アクセス権を取得できます。これにより、機密データへの不正アクセス、データの不正な改変、およびサービス拒否 (DoS) につながる可能性があります。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性 (KEV) カタログに掲載されており、実際に悪用が確認されています。
1.2 深刻度 この脆弱性のCVSSv3.1スコアは8.8で、「High（深刻）」または「Severe Risk」と評価されています。攻撃の複雑さは「Low（低）」であり、特権は不要です。また、ユーザーによる操作も不要で、攻撃は隣接するネットワークから実行可能です。
2. 対象となる環境
2.1 影響を受けるOSバージョン TP-Link TL-WA855RE V5のファームウェアバージョン20200415-rel37464およびそれ以前のバージョン（具体的には200731より前のバージョン）が影響を受けます。
2.2 影響を受ける設定 本脆弱性は、TDDP_RESET POSTリクエストに対して認証を要求しない設定のデバイスに影響します。デフォルトでは、ウェブインターフェースは管理機能へのアクセスにログインを必要としますが、攻撃者は認証をバイパスして認証のないTDDP_RESETコードを送信できるAPIを利用できます。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策 TP-Linkは、ファームウェアバージョンTL-WA855RE(EU)_V5_200731以降でこの問題が修正されたと報告しています。ユーザーはデバイスのファームウェアを最新バージョンに更新することが推奨されます。 しかし、TP-Link TL-WA855RE製品はすでにEnd-of-Life (EoL) またはEnd-of-Service (EoS) のステータスに達しており、今後のパッチやアップデートは期待できません。そのため、この製品の使用を中止し、新しいモデルに交換することが強く推奨されています。
4.2 暫定回避策（緩和策） * デバイスを、信頼できるデバイスのみがアクセスできるネットワークセグメントに配置する。 * 更新または隔離が不可能な場合は、製品の使用を中止する。 * 多要素認証 (MFA) をサポートしている場合は、有効にする（ただし、この種のレンジエクステンダーでは一般的ではない可能性が高い）。
5. 参照したサイト