CVE-2025-5688 – FreeRTOS-Plus-TCP Out-of-Bounds Write Exploit

Remote Speicherkorruption / DoS / potenzieller RCE-Auslöser in FreeRTOS-Plus-TCP bei der Verarbeitung übermäßig langer DNS-Namen in LLMNR- oder mDNS-Abfragen (Buffer Allocation Scheme 1).

Exploit-Autor: Mohammed Idrees Banyamer
Land: Jordanien
Instagram: @banyamer_security
Datum: 26. Dezember 2025

Übersicht

Dieser PoC sendet ein speziell präpariertes UDP-Multicast-Paket mit einem übermäßig langen DNS-Namen, um einen Out-of-Bounds Write (CWE-787) in anfälligen Versionen von FreeRTOS-Plus-TCP (v2.3.4 – v4.3.1 mit LLMNR/mDNS + Schema 1) auszulösen.

Häufige Symptome auf betroffenen Geräten:

Sofortiger Absturz / Neustart
Watchdog-Reset
LED-Blink-Schleife / Einfrieren
In seltenen Fällen des Speicherlayouts → mögliche Codeausführung

Betroffene Geräte (Beispiele)

Sonoff RF Bridge (ungepatchte Firmware)
Viele billige IoT-Gateways, Brücken, eingebettete Controller mit FreeRTOS-Plus-TCP

Behoben in: FreeRTOS-Plus-TCP 4.3.2 (strenge Längenvalidierung hinzugefügt)

Referenzen

Angriffsablaufdiagramm

graph TD
    A[Attacker on same LAN] -->|"1. Craft oversized DNS name"| B["`UDP Packet
long QNAME (~500+ bytes)`"]
    B -->|"2. Send to multicast"| C{Target Protocol}
    C -->|LLMNR| D[224.0.0.252:5355]
    C -->|mDNS| E[224.0.0.251:5353]
    D --> F["`FreeRTOS-Plus-TCP
LLMNR/mDNS Parser`"]
    E --> F
    F -->|"No length check + Scheme 1"| G[Fixed-size buffer overflow]
    G --> H["`Out-of-bounds Write
CWE-787`"]
    H --> I{Outcome}
    I -->|"Common"| J[Crash / Reboot / Watchdog]
    I -->|"Memory layout dependent"| K[Potential RCE / Code Execution]
    I -->|"Data after buffer"| L[Memory corruption / Info leak]

Anforderungen

Python 3.6+
Nur Standardbibliothek (socket, sys) – keine externen Pakete

Verwendung

# LLMNR-Angriff (Standard-Multicast)
python3 exploit.py LLMNR

# mDNS-Angriff
python3 exploit.py mDNS

# Benutzerdefinierte Multicast-IP (selten erforderlich)
python3 exploit.py LLMNR 224.0.0.252
python3 exploit.py mDNS 224.0.0.251

Erwartete Ausgabe:

[+] Sending 523-byte LLMNR query → target 224.0.0.252:5355
[+] Sent. Watch for immediate crash, reboot, LED blink loop, or freeze.

So testen Sie sicher

Verwenden Sie ein anfälliges Sonoff RF Bridge oder ein benutzerdefiniertes FreeRTOS-Gerät in einem isolierten Labornetzwerk.
Bestätigen Sie, dass LLMNR/mDNS aktiviert ist (UDP 5355 oder 5353 offen).
Führen Sie das Skript von einem anderen Rechner im selben LAN aus.
Beobachten Sie einen Absturz/Neustart innerhalb von Sekunden.

Haftungsausschluss – Rechtliche und ethische Hinweise

Dieser Code wird nur zu Bildungs-, Forschungs- und Schwachstellen-Demonstrationszwecken bereitgestellt.
Verwenden Sie diesen Exploit NICHT gegen ein System oder Netzwerk ohne ausdrückliche schriftliche Genehmigung des Eigentümers.
Unbefugte Nutzung kann gegen Gesetze verstoßen (Computerbetrugs- und Missbrauchsgesetze usw.).
Der Autor ist nicht verantwortlich für Missbrauch oder Schäden.

Lizenz

MIT-Lizenz – siehe LICENSE Datei (oder eine hinzufügen, falls nicht vorhanden).

Beliebteste

CVE-2025-5688-FreeRTOS-Plus-TCP-Out-of-Bounds-Write