hacefresko/cve-2025-40634TP-Link Archer AX50ルーターのconn-indicatorバイナリで見つかったスタックベースのバッファオーバーフローのエクスプロイト
TP-Link Archer AX50 ルーターは、ファームウェアバージョン 1.0.14 Build 20240108 rel.42655(4555) においてスタックベースのバッファオーバーフローの脆弱性があり、LAN および WAN 側の両方でリモートコード実行につながります。この脆弱性は、Flashback チームが発見し、彼らのビデオシリーズで詳しく説明されている CVE-2020-10881 と同じ根本原因を持っています（参考文献を参照）。ただし、悪用プロセスは多少異なるため、新しいエクスプロイトを作成する必要がありました。
この脆弱性は、conn-indicator バイナリで発生します。このバイナリは、ルーターがインターネットに接続されているかを確認するため、定期的に DNS クエリを送信し、32000 から 61000 の間のランダムな UDP ポートで応答を待ち受ける役割を担っています。
これらの DNS 応答パケットを受信し最初に処理する関数は TPDns_RecvAndResolve() (0x00405e3c に位置) です。recvfrom でパケットを受信すると、サイズ 2960 バイトの buf に格納されます。その後、リターンコードが正しいか (RCODE == 0) を確認し、パケット内の質問数と回答数 (QDCOUNT と ANCOUNT) をチェックします。回答を処理するために process_resolved_IP() を呼び出し、buf へのポインタ、buf 内の回答の開始位置を指す answer_ptr、回答数 (ANCOUNT)、およびその他のフラグを渡します。
undefined4 * TPDns_RecvAndResolve(int socket,void *param_2,int param_3){
[...]
byte buf [2960];
[...]
while( true ) {
recv_bytes = recvfrom(socket,buf + total_recv_bytes,0xb90 - total_recv_bytes,0,&sStack_50,
local_38);
piVar2 = __errno_location();
if (recv_bytes == 0) goto RECV_ERROR;
if (recv_bytes < 0) break;
total_recv_bytes = total_recv_bytes + recv_bytes;
if (2959 < total_recv_bytes) goto PROCESS_DNS_RESP;
}
[...]
/* Check that ANCOUNT is not 0 (answer contains at least one domain) */
puVar5 = (undefined4 *)0x0;
if (buf._6_2_ != 0) {
local_40 = 0;
puVar5 = process_resolved_IP(buf,answer_ptr,(uint)buf._6_2_,&local_3c,&local_40);
answer_ptr = answer_ptr + local_40;
}
[...]
関数 process_resolved_IP() (0x00405818 に位置) は各回答を走査し、それぞれに対して DNS_answer_parser() を呼び出します。引数として、buf への同じポインタ、buf 内の現在解析中の回答を指す answer、およびサイズ 256 のバッファ current_answer へのポインタを渡します。
undefined4 * process_resolved_IP(byte *buf,byte *answer_ptr,uint ANCOUNT,undefined4 *param_4,int *param_5){
[...]
byte current_answer [256];
ushort answer_flags [5];
i = 0;
puVar9 = (undefined4 *)0x0;
puVar7 = (undefined4 *)0x0;
answer = answer_ptr;
do {
/* Check if all answers have been parsed already */
if (i == ANCOUNT) {
if (param_4 != (undefined4 *)0x0) {
*param_4 = puVar7;
}
if (param_5 != (int *)0x0) {
*param_5 = (int)answer - (int)answer_ptr;
}
return puVar9;
}
bytes_processed = DNS_answer_parser(buf,answer,current_answer,1);
memcpy(answer_flags,answer + bytes_processed,10);
uVar1 = answer_flags._4_4_;
bytes_processed = bytes_processed + 10;
uVar6 = (uint)answer_flags[4];
uVar8 = (uint)answer_flags[0];
if (uVar8 == 2) {
LAB_00405924:
DNS_answer_parser(buf,answer + bytes_processed,abStack_240,1);
}
else if (uVar8 < 3) {
pbVar2 = answer + bytes_processed;
if (uVar8 == 1) {
sprintf((char *)abStack_240,"%u.%u.%u.%u",(uint)*pbVar2,(uint)pbVar2[1],(uint)pbVar2[2],
(uint)pbVar2[3]);
}
}
else {
if (uVar8 == 5) goto LAB_00405924;
if (uVar8 == 0x1c) {
inet_ntop(10,answer,(char *)abStack_240,0xff);
}
}
answer = answer + bytes_processed + uVar6;
[...]
i = i + 1;
} while( true );
}
関数 DNS_answer_parser() (0x004054e0 に位置) は各回答を個別に解析します。回答は <長さ><ドメイン><長さ><ドメイン>... という形式のドメイン名で構成されています。例えば example.com は 7example3com と表現されます。この関数は、回答のドメイン名を構成する <長さ><ドメイン> の各ペアをループし、<長さ> が 63 未満であること (domain_name & 0xc0 != 0) をチェックします。次に memcpy を呼び出し、answer の <長さ> バイト分 ( <ドメイン> に対応) を current_answer にコピーします。ドメイン名内の次の <長さ><ドメイン> ペアについてもこの処理を繰り返します。
int DNS_answer_parser(byte *buf,byte *answer,byte *current_answer,int flag){
int iVar1;
uint __n;
int iVar2;
uint uVar3;
ushort flag_and_offset;
byte domain_name;
iVar2 = 0;
do {
domain_name = *answer;
__n = (uint)domain_name;
iVar1 = 1;
if (__n == 0) {
*current_answer = 0;
LAB_004055b0:
return iVar2 + iVar1;
}
/* Check if compression mode is used */
if ((domain_name & 0xc0) != 0) {
flag_and_offset = CONCAT11(domain_name,answer[1]);
DNS_answer_parser(buf,buf + (flag_and_offset & 0x3fff),current_answer,flag);
iVar1 = 2;
goto LAB_004055b0;
}
uVar3 = __n + 1;
if (flag == 0) {
*current_answer = '.';
memcpy(current_answer + 1,answer + 1,__n);
__n = uVar3;
}
else {
memcpy(current_answer,answer + 1,__n);
}
answer = answer + uVar3;
current_answer = current_answer + __n;
iVar2 = iVar2 + uVar3;
flag = 0;
} while( true );
}
current_answer は 256 バイトしかないため、攻撃者はバッファをオーバーフローさせるのに十分な大きさのドメイン名を含む回答をパケットで送信することが可能です。
悪用プロセスは、Flashback チームが CVE-2020-10881 についてビデオシリーズで説明したものと非常に似ています（参考文献を参照）。ただし、いくつかの重要な違いがあります。
move 命令が異なります。memcpy() の count 引数として $a2 に移動されるレジスタが、$s0 ではなく $s1 になっています。process_resolved_IP() 内の変数 i が $s8 ではなく $s5 にロードされます。その後 $v1 と比較される際に、$v1 は $sp+616 から取得されます。この位置はオーバーフローしたバッファから非常に離れているため、回答とコマンドからさらにスタックを破損させる必要がありました。/tmp 以外は読み取り専用であるため、すべての書き込みと読み取りは /tmp で行う必要があります。これにより、リバースシェルを 62 文字未満にすることが不可能になるため、ターゲットにデプロイするには、Web サーバーから提供し、ダウンロードして実行するコマンドをターゲットに送信する必要があります。以上の点を踏まえて、全プロセスを説明します。
conn-indicator バイナリは NX が有効で、ASLR は自身以外のすべてに適用されています。