CVE-2026-56111 - Marlin M421 Out-of-bounds Write

Proof of Concept für CVE-2026-56111, ein Out-of-bounds Write im M421 G-Code-Handler von Marlin Firmware bei Build mit MESH_BED_LEVELING.

• Sicherheitshinweis: https://www.vulncheck.com/advisories/marlin-firmware-out-of-bounds-write-via-m421-g-code-handler
• Betroffen: Marlin <= 2.1.2.7, behoben in Commit 1f255d1
• Schweregrad: Hoch (CVSS 8.3)

Der Fehler

Der MBL M421-Handler prüft nur, dass die I/J-Indizes nicht negativ sind. Er prüft nie die obere Grenze. set_z() schreibt dann z_values[ix][iy] = z ohne Grenzprüfung. Ein Index außerhalb des Gitters schreibt einen kontrollierten 32-Bit-Float über das z_values-Array hinaus in den angrenzenden Firmware-Zustand.

Der Schreibzugriff ist begrenzt, nicht willkürlich. Das Ziel ist z_values + (ix*GRID_Y + iy)*4 Bytes, wobei die Indizes durch int8_t (max 127) begrenzt sind, sodass das erreichbare Fenster etwa 2 KB hinter z_values liegt. Sie kontrollieren den Wert (den Z-Float) und den Offset (den Index). Sie kontrollieren keine absolute Adresse.

Dieses Tool sendet nur die G-Code-Zeile. Der Out-of-bounds Write geschieht im Firmware. Beobachtbare Effekte sind Denial of Service, Firmware-Absturz oder korrupte Bewegung. Der genaue Speicherschreibvorgang wird im Advisory gezeigt, nicht von diesem Tool.

Build

gcc -O2 -o exp exploit.c

Verwendung

Wählen Sie einen Kanal aus:

• --serial <dev> für USB, z.B. /dev/ttyUSB0 oder /dev/ttyACM0 (füge --baud N hinzu falls nötig; viele Boards verwenden 250000)
• --tcp <host:port> für Drucker, die Telnet/Netzwerk-G-Code bereitstellen, z.B. 192.168.1.50:23

Write-Modus

Sende M421 mit dem gewählten Index und Wert:

./exp --serial /dev/ttyUSB0 write -i 3 -j 0 -z 99.0
./exp --tcp 192.168.1.50:23  write -i 5 -j 0 -z 99.0

Bei einem Standard-3x3-Gitter (gültiger Index 0..2):

• -i 3 -j 0 schreibt an Offset 36 Bytes, was z_offset ist (der Bett-Z-Offset)
• -i 5 -j 0 schreibt an Offset 60 Bytes, was das Parserobjekt ist

DOS-Modus

Sende einen Index außerhalb des Bereichs mit einem NaN-Z-Wert. Das NaN pflanzt sich in die Bewegungsmathematik fort und führt zuverlässig zu einem Absturz oder Einfrieren der Firmware:

./exp --serial /dev/ttyUSB0 dos
./exp --tcp 192.168.1.50:23  dos

Behebung

Aktualisieren Sie auf einen Marlin-Build, der den Commit 1f255d1 enthält, der die Indizes auf die gleiche Weise begrenzt, wie es die ABL- und UBL-Handler bereits tun.

Haftungsausschluss

Nur für Forschung und autorisierte Tests. Verwenden Sie nur auf Geräten, die Ihnen gehören oder für die Sie ausdrückliche Erlaubnis zum Testen haben. Das Senden dieser Befehle kann einen Drucker zum Absturz bringen oder einen Druck stören.