CVE-2020-36109-POC

13 февраля 2021, Altin Thartori, github.com/tin-z

---

Детали уязвимости

Прошивка маршрутизатора ASUS RT-AX86U ниже версии 9.0.0.4_386 имеет переполнение буфера в функции blocking_request.cgi модуля httpd, которое может привести к выполнению кода, когда злоумышленник создает вредоносные данные.

Уязвимость присутствует не только в RT-AX86U, но и в других моделях, использующих службу httpd. подробнее

Ссылки:

• отчёт NIST
• cvebase

Детали эксплуатации

Уязвимость не позволяет добиться RCE, на самом деле был достигнут только DoS. Во-первых, из-за канарейки, а во-вторых, потому что 'strcat' не копирует нулевые байты, и поэтому мы не можем перезаписать канарейку или создать ROP. А также буфер был размещён прямо под канарейкой.

Предварительные требования:

• Цель должна иметь тот же часовой пояс, иначе измените PoC
• Значение заголовка 'Referer' должно содержать адрес цели
• Значение параметра 'mac' должно быть равно значению nvram 'MULTIFILTER_MAC'

PoC

• poc.py

подробнее

Table 1. Versions of the vulnerable asus routers

| Model                   | Version           | date 
-------------------------------------------------------------------
| RT-AX86U                | 3.0.0.4.384.9318  | 2020/10/23
| ROG Rapture GT-AC5300   | 3.0.0.4.384.81974 | 2020/07/13 
| ROG Rapture GT-AX11000  | 3.0.0.4.384.9566  | 2020/08/06 

 ...                        ,,,                         ,,,