CVE-2025-5688 – استغلال الكتابة خارج الحدود في FreeRTOS-Plus-TCP

محفّز لإفساد الذاكرة عن بُعد / حجب الخدمة (DoS) / تنفيذ كود عن بُعد (RCE) محتمل في FreeRTOS-Plus-TCP عند معالجة أسماء DNS طويلة بشكل مفرط في استعلامات LLMNR أو mDNS (مخطط تخصيص المخزن المؤقت 1).

مؤلف الاستغلال: Mohammed Idrees Banyamer
البلد: الأردن
Instagram: @banyamer_security
التاريخ: 26 ديسمبر 2025

نظرة عامة

يرسل إثبات المفهوم (PoC) هذا حزمة UDP بثّ متعدد (multicast) مصممة بعناية تحتوي على اسم DNS طويل بشكل مفرط لتحفيز كتابة خارج الحدود (CWE-787) في الإصدارات المعرّضة للخطر من FreeRTOS-Plus-TCP (v2.3.4 – v4.3.1 مع LLMNR/mDNS + المخطط 1).

الأعراض الشائعة على الأجهزة المتأثرة:

انهيار فوري / إعادة تشغيل
إعادة تعيين المؤقت الرقابي (Watchdog)
حلقة وميض LED / تجمّد
في حالات نادرة لترتيب الذاكرة → احتمال تنفيذ تعليمات برمجية

الأجهزة المتأثرة (أمثلة)

Sonoff RF Bridge (برنامج ثابت غير مصحّح)
العديد من بوابات IoT الرخيصة والجسور ووحدات التحكم المدمجة التي تستخدم FreeRTOS-Plus-TCP

تم الإصلاح في: FreeRTOS-Plus-TCP 4.3.2 (تمت إضافة تحقق صارم من الطول)

المراجع

مخطط تدفق الهجوم

graph TD
    A[Attacker on same LAN] -->|"1. Craft oversized DNS name"| B["`UDP Packet
long QNAME (~500+ bytes)`"]
    B -->|"2. Send to multicast"| C{Target Protocol}
    C -->|LLMNR| D[224.0.0.252:5355]
    C -->|mDNS| E[224.0.0.251:5353]
    D --> F["`FreeRTOS-Plus-TCP
LLMNR/mDNS Parser`"]
    E --> F
    F -->|"No length check + Scheme 1"| G[Fixed-size buffer overflow]
    G --> H["`Out-of-bounds Write
CWE-787`"]
    H --> I{Outcome}
    I -->|"Common"| J[Crash / Reboot / Watchdog]
    I -->|"Memory layout dependent"| K[Potential RCE / Code Execution]
    I -->|"Data after buffer"| L[Memory corruption / Info leak]

المتطلبات

Python 3.6+
المكتبة القياسية فقط (socket, sys) – لا حزم خارجية

الاستخدام

# LLMNR attack (default multicast)
python3 exploit.py LLMNR

# mDNS attack
python3 exploit.py mDNS

# Custom multicast IP (rarely needed)
python3 exploit.py LLMNR 224.0.0.252
python3 exploit.py mDNS 224.0.0.251

المخرجات المتوقعة:

[+] Sending 523-byte LLMNR query → target 224.0.0.252:5355
[+] Sent. Watch for immediate crash, reboot, LED blink loop, or freeze.

كيفية الاختبار بأمان

استخدم جهاز Sonoff RF Bridge معرّضًا للخطر أو جهاز FreeRTOS مخصصًا في شبكة مختبر معزولة.
تأكد من تفعيل LLMNR/mDNS (منفذ UDP 5355 أو 5353 مفتوح).
شغّل السكربت من جهاز آخر على نفس الشبكة المحلية (LAN).
لاحظ الانهيار/إعادة التشغيل خلال ثوانٍ.

إخلاء المسؤولية – إشعار قانوني وأخلاقي

هذا الكود مُقدَّم لأغراض تعليمية وبحثية ولتوضيح الثغرات الأمنية فقط.
لا تستخدم هذا الاستغلال ضد أي نظام أو شبكة دون إذن كتابي صريح من المالك.
قد ينتهك الاستخدام غير المصرح به القوانين (قوانين الاحتيال وإساءة استخدام الحاسوب، إلخ).
المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر.

الترخيص

رخصة MIT – راجع ملف LICENSE (أو أضفه إذا كان مفقودًا).

الأكثر شعبية

CVE-2025-5688-FreeRTOS-Plus-TCP-Out-of-Bounds-Write