CVE-2025-9377
TP-Link Archer C7(EU) and TL-WR841N/ND(MS) OS Command Injection Vulnerability
Beschreibung
CVE-2025-9377 ist eine OS Command Injection-Schwachstelle in mehreren TP-Link-Routern, konkret im TP-Link Archer C7(EU) V2 und TL-WR841N/ND(MS) V9. Ein authentifizierter Angreifer mit Administratorzugang kann ueber die Kindersicherungs-Seite (Parental Control) der Weboberflaeche beliebige Betriebssystembefehle auf dem Router ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.2 (HIGH) bewertet.
Die CISA hat CVE-2025-9377 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. September 2025. Der EPSS-Score von 15.6 % (95. Perzentil) zeigt eine hohe Wahrscheinlichkeit der aktiven Ausnutzung. Besonders kritisch ist, dass beide betroffenen Produkte den End-of-Life-Status (EOL) erreicht haben und TP-Link den Kauf neuerer Geraete empfiehlt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| tp-link | tl-wr841n firmware | < 241108 |
| tp-link | tl-wr841nd firmware | < 241108 |
| tp-link | archer c7 firmware | < 241108 |
Referenzen
- https://www.tp-link.com/us/support/faq/4308/(Product)
- https://www.tp-link.com/us/support/faq/4365/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-9377(US Government Resource)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2025-9377 basiert auf CWE-78 (OS Command Injection), einer der gefaehrlichsten Schwachstellenklassen in Netzwerkgeraeten. Bei dieser Schwachstelle werden Benutzereingaben auf der Kindersicherungs-Seite des Routers nicht ausreichend validiert, bevor sie an Betriebssystembefehle uebergeben werden. Ein Angreifer kann Shell-Metazeichen einschleusen, um zusaetzliche Befehle auf dem darunterliegenden Betriebssystem auszufuehren.
Mehr erfahren: CWE-78 -- OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-9377 sind trotz der Anforderung hoher Privilegien (Administratorzugang) erheblich. Der CVSS-Vektor zeigt einen netzwerkbasierten Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L), wobei keine Benutzerinteraktion erforderlich ist (UI:N). Vertraulichkeit (High): Ein Angreifer mit Befehlsausfuehrung auf dem Router kann den gesamten Netzwerkverkehr abfangen, Zugangsdaten extrahieren und auf alle verbundenen Geraete im lokalen Netzwerk zugreifen. Integritaet (High): Der Angreifer kann die Router-Konfiguration manipulieren, DNS-Einstellungen aendern, Backdoors installieren und den Netzwerkverkehr umleiten. Verfuegbarkeit (High): Der Router-Dienst kann gestoppt oder das Geraet in einen unbrauchbaren Zustand versetzt werden. Mit einem CVSS-Score von 7.2 und einem EPSS-Score im 95. Perzentil stellt diese Schwachstelle ein ernsthaftes Risiko dar, insbesondere fuer Netzwerke, die diese EOL-Router noch einsetzen.
Exploit-Reifegrad
CVE-2025-9377 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 24. September 2025. Der EPSS-Score von 15.6 % (95. Perzentil) ist sehr hoch und zeigt, dass diese Schwachstelle zu den am staerksten ausgenutzten Schwachstellen gehoert. Der Ransomware-Status ist als Unknown klassifiziert. Da beide betroffenen Geraete (Archer C7 und TL-WR841N/ND) den End-of-Life-Status erreicht haben, ist davon auszugehen, dass viele Installationen ungepatcht bleiben, was die Schwachstelle fuer Angreifer besonders attraktiv macht.
Behebung
-
Patches installieren oder Geraet ersetzen: TP-Link hat Patches fuer die Firmware-Versionen vor 241108 bereitgestellt. Da beide Produkte den EOL-Status erreicht haben, empfiehlt TP-Link dringend den Kauf neuerer Router-Modelle. Wenn ein sofortiger Ersatz nicht moeglich ist, laden Sie die Patches ueber die TP-Link Support-Seite herunter und installieren Sie diese umgehend.
-
Administratorzugang absichern: Aendern Sie das Standard-Administratorpasswort des Routers in ein starkes, einzigartiges Passwort. Beschraenken Sie den Zugriff auf die Weboberflaeche auf vertrauenswuerdige IP-Adressen und deaktivieren Sie den Remote-Administrationszugang, sofern nicht zwingend erforderlich.
-
Netzwerkisolierung: Betreiben Sie die betroffenen Router in einem dedizierten Netzwerksegment. Platzieren Sie keine kritischen Systeme hinter diesen Geraeten und ueberwachen Sie den ausgehenden Verkehr auf verdaechtige Aktivitaeten.
-
Monitoring und Erkennung: Ueberpruefen Sie die Router-Logs auf ungewoehnliche Zugriffe auf die Kindersicherungs-Seite. Ueberwachen Sie den Netzwerkverkehr auf anomale DNS-Anfragen oder ungewoehnliche ausgehende Verbindungen, die auf eine Kompromittierung hindeuten koennten.
-
Langfristige Migration: Erstellen Sie einen Migrationsplan fuer den Ersatz aller EOL-Netzwerkgeraete. TP-Link-Router, die keine Sicherheitsupdates mehr erhalten, stellen ein dauerhaftes Risiko fuer die Netzwerksicherheit dar.
Technische Details
CVE-2025-9377 betrifft die Kindersicherungs-Funktion (Parental Control) auf dem TP-Link Archer C7(EU) V2 und TL-WR841N/ND(MS) V9. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar ist, jedoch hohe Privilegien (PR:H) -- also Administratorzugang -- erfordert. Die Schwachstelle liegt in der unzureichenden Sanitisierung von Benutzereingaben, die ueber die Parental-Control-Seite der Weboberflaeche an Betriebssystembefehle uebergeben werden. Ein authentifizierter Administrator kann durch das Einfuegen von Shell-Metazeichen zusaetzliche Befehle anhaengen, die mit den Rechten des Router-Betriebssystems ausgefuehrt werden. Betroffen sind Archer C7(EU) V2 und TL-WR841N/ND(MS) V9 mit Firmware-Versionen vor 241108. Da Router-Betriebssysteme typischerweise mit Root-Rechten laufen, fuehrt eine erfolgreiche Ausnutzung zur vollstaendigen Kontrolle ueber das Geraet.
Häufig gestellte Fragen
Wird CVE-2025-9377 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-9377 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und damit die aktive Ausnutzung bestaetigt. Die Behebungsfrist wurde auf den 24. September 2025 festgelegt. Der EPSS-Score von 15.6 % platziert diese Schwachstelle im 95. Perzentil, was auf eine sehr hohe Ausnutzungswahrscheinlichkeit hinweist.
Welche Produkte sind von CVE-2025-9377 betroffen?
Betroffen sind der TP-Link Archer C7(EU) V2 und der TP-Link TL-WR841N/ND(MS) V9 mit Firmware-Versionen vor 241108. Beide Produkte haben den End-of-Life-Status erreicht. TP-Link empfiehlt den Kauf neuerer Router-Modelle, bietet jedoch auch Patches fuer bestehende Installationen an.
Wie behebe ich CVE-2025-9377?
Installieren Sie umgehend die Firmware-Version 241108 oder neuer ueber die TP-Link Support-Seite. Da die Geraete EOL sind, sollten Sie langfristig auf aktuelle Router-Modelle migrieren. Als Sofortmassnahme beschraenken Sie den Administratorzugang auf vertrauenswuerdige IP-Adressen und deaktivieren Sie die Remote-Administration.
Wie schwerwiegend ist CVE-2025-9377?
CVE-2025-9377 wird mit einem CVSS v3.1-Score von 7.2 als HIGH eingestuft. Die Schwachstelle erfordert zwar Administratorzugang, ermoeglicht aber die vollstaendige Uebernahme des Routers durch OS Command Injection. Der EPSS-Score von 15.6 % (95. Perzentil) zeigt, dass die Schwachstelle aktiv und haeufig ausgenutzt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.