TP-Link Archer AX10/AX1500ルーターで、リモートコード実行を可能にする重大なゼロデイ脆弱性が発見されました。この脆弱性は、CWMP実装におけるスタックベースのバッファオーバーフローに起因します。ルーターの設定で容易に設定できる悪意のあるCWMPサーバーURLが、エクスプロイトを引き起こします。この脆弱性は、さまざまなハードウェアリビジョンにわたる複数のファームウェアバージョンに影響します。オンラインで4,000台以上の脆弱なデバイスが特定されました。研究者は2024年5月11日にTP-Linkに脆弱性を報告しましたが、パッチはまだ提供されていません。この欠陥は、影響を受けるルーターの完全な制御を可能にします。この脆弱性は、不適切な入力サイズ検証を怠る、欠陥のある文字列処理関数を悪用します。研究者は、この脆弱性を発見するために自動化されたテイント解析を使用しました。現在、一般公開が行われています。