xernary/cve-2026-82539Avis de sécurité pour la vulnérabilité de débordement de tampon TOTOLINK a720r
Fournisseur : TOTOLINK
Site web du fournisseur : TOTOLINK
Modèle : A720R
Version du firmware : V4.1.5cu.630_B20250509
Adresse de téléchargement du firmware : TOTOLINK
Score de base CVSS v4.0 : 9.4 (Critique)
Vecteur : CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
Un débordement de tampon sur la pile existe dans le binaire de firmware cstecgi.cgi, permettant à un administrateur authentifié de détourner le flux de contrôle du processus et d'exécuter des chemins de code existants au sein du binaire. La vulnérabilité peut être déclenchée en envoyant une requête forgée au gestionnaire setMacFilterRules contenant une valeur excessivement longue du paramètre desc, laquelle est copiée dans un tampon de pile de taille fixe via strcpy() sans aucune vérification des limites, écrasant ainsi l'adresse de retour sauvegardée.
Le code vulnérable se situe dans le binaire cstecgi.cgi, où la valeur fournie de desc est copiée dans un tampon de pile sans validation de longueur, permettant d'écraser l'adresse de retour sauvegardée et de rediriger le flux de contrôle du programme. Le binaire étant compilé sans canaris de pile et sans PIE, le débordement passe inaperçu et l'exécution peut être redirigée de manière fiable vers du code résidant à des adresses fixes au sein du binaire.
En écrasant l'adresse de retour sauvegardée, le flux de contrôle a été redirigé vers des fonctions existantes au sein du binaire. Cela a été démontré en invoquant un appel sleep(2) (confirmant le contrôle fiable du pointeur d'instruction par un délai mesurable dans la réponse de l'appareil), la routine de redémarrage du système, la fonction de déconnexion de session et la routine d'effacement des journaux.
Le flux de contrôle a ensuite été redirigé vers la routine responsable du démarrage du service Telnet, activant Telnet sur l'appareil.
Par conséquent, un attaquant authentifié disposant d'un accès réseau à l'appareil cible peut détourner le flux d'exécution du processus cstecgi.cgi et exécuter des chemins de code arbitraires au sein du binaire, compromettant la confidentialité, l'intégrité et la disponibilité de l'appareil.
Ces vulnérabilités ont été signalées par Nicola Giuffrida.
