MARMALADE 2/CVE-2025-67780 Exploit (PoC)

Starlink DishのMARMALDE 2 (CVE-2025-67780) 脆弱性に対するExploit PoCs

この脆弱性をどのように発見し、思い通りに動作させるかについての完全なブログはこちら: https://www.akawlabs.com/blog/starlink-grpc-execution

私は、ローカルネットワーク上のStarlink Dishが強制的に再起動されることを示す複数の概念実装を開発しました。この問題は、Dishの診断インターフェースを介して公開されている特定のgRPCコマンドに対する認証とホワイトリストが不十分だったことに起因しています。

SpaceXへの責任ある開示の後、いくつかのコマンドへの未認証アクセスが制限されましたが、テスト時点では再起動機能へのアクセスは残っていました。その結果、ローカルネットワーク経由で送信された未認証のリクエストによって、Dishの強制再起動を引き起こすことが依然として可能です。このトリガーを繰り返すと、サービス拒否状態になります。

この動作は、Dishが特定の未認証入力を受け入れ、それらを内部でファームウェア内の再起動コマンド識別子にマッピングし、適切な認可チェックなしに実行することによって引き起こされます。

これは非常に簡単で、DishにHTTP POSTパケットで正しいバイト列を送信するだけです。Dishは診断ポート9201でIPアドレス192.168.100.1にハードコードされています。再起動コマンドの場合、そのバイト列はバイナリとして送信される'03 ca 3e 00'です。DishはこれをHTTP経由で受信し、対応するgRPCコマンドID（再起動の場合、ファームウェアでは1001）に変換して実行します。