CVE-2025-5688 – Эксплойт записи за пределами буфера в FreeRTOS-Plus-TCP

Удалённое повреждение памяти / DoS / потенциальная активация RCE в FreeRTOS-Plus-TCP при обработке чрезмерно длинных DNS-имён в LLMNR- или mDNS-запросах (схема выделения буферов 1).

Автор эксплойта: Mohammed Idrees Banyamer
Страна: Иордания
Instagram: @banyamer_security
Дата: 26 декабря 2025 г.

Обзор

Этот PoC отправляет специально сформированный multicast-пакет UDP, содержащий чрезмерно длинное DNS-имя, чтобы вызвать запись за пределами буфера (CWE-787) в уязвимых версиях FreeRTOS-Plus-TCP (v2.3.4 – v4.3.1 с LLMNR/mDNS + схема 1).

Типичные симптомы на затронутых устройствах:

Немедленный сбой / перезагрузка
Сброс по сторожевому таймеру
Цикл мигания светодиода / зависание
В редких случаях компоновки памяти → возможное выполнение кода

Затронутые устройства (примеры)

Sonoff RF Bridge (непропатченная прошивка)
Множество дешёвых IoT-шлюзов, мостов, встраиваемых контроллеров, использующих FreeRTOS-Plus-TCP

Исправлено в: FreeRTOS-Plus-TCP 4.3.2 (добавлена строгая проверка длины)

Ссылки

Схема атаки

graph TD
    A[Attacker on same LAN] -->|"1. Craft oversized DNS name"| B["`UDP Packet
long QNAME (~500+ bytes)`"]
    B -->|"2. Send to multicast"| C{Target Protocol}
    C -->|LLMNR| D[224.0.0.252:5355]
    C -->|mDNS| E[224.0.0.251:5353]
    D --> F["`FreeRTOS-Plus-TCP
LLMNR/mDNS Parser`"]
    E --> F
    F -->|"No length check + Scheme 1"| G[Fixed-size buffer overflow]
    G --> H["`Out-of-bounds Write
CWE-787`"]
    H --> I{Outcome}
    I -->|"Common"| J[Crash / Reboot / Watchdog]
    I -->|"Memory layout dependent"| K[Potential RCE / Code Execution]
    I -->|"Data after buffer"| L[Memory corruption / Info leak]

Требования

Python 3.6+
Только стандартная библиотека (socket, sys) – внешние пакеты не требуются

Использование

# LLMNR-атака (multicast по умолчанию)
python3 exploit.py LLMNR

# mDNS-атака
python3 exploit.py mDNS

# Свой multicast-IP (редко требуется)
python3 exploit.py LLMNR 224.0.0.252
python3 exploit.py mDNS 224.0.0.251

Ожидаемый вывод:

[+] Sending 523-byte LLMNR query → target 224.0.0.252:5355
[+] Sent. Watch for immediate crash, reboot, LED blink loop, or freeze.

Как безопасно протестировать

Используйте уязвимый Sonoff RF Bridge или собственное устройство на FreeRTOS в изолированной лабораторной сети.
Убедитесь, что LLMNR/mDNS включён (открыты порты UDP 5355 или 5353).
Запустите скрипт с другой машины в той же локальной сети.
Наблюдайте сбой/перезагрузку в течение нескольких секунд.

Отказ от ответственности – правовое и этическое уведомление

Этот код предоставлен только в образовательных, исследовательских целях и для демонстрации уязвимости.
НЕ используйте этот эксплойт против любой системы или сети без явного письменного разрешения владельца.
Несанкционированное использование может нарушать законы (акты о компьютерном мошенничестве и злоупотреблениях и т. д.).
Автор не несёт ответственности за любое неправомерное использование или ущерб.

Лицензия

Лицензия MIT – см. файл LICENSE (или добавьте его, если отсутствует).

Популярное

CVE-2025-5688-FreeRTOS-Plus-TCP-Out-of-Bounds-Write