CVE-2025-5688 – FreeRTOS-Plus-TCP 越界写入漏洞利用

远程内存损坏 / 拒绝服务 / 潜在远程代码执行触发——在FreeRTOS-Plus-TCP处理LLMNR或mDNS查询中过长的DNS名称时发生（缓冲区分配方案1）。

漏洞利用作者： Mohammed Idrees Banyamer
所在国家： 约旦
Instagram： @banyamer_security
日期： 2025年12月26日

概述

本PoC发送一个精心构造的UDP多播数据包，其中包含一个超长的DNS名称，以触发存在漏洞的FreeRTOS-Plus-TCP（v2.3.4 – v4.3.1，启用了LLMNR/mDNS且采用方案1）中的越界写入（CWE-787）。

受影响设备的常见症状：

立即崩溃/重启
看门狗复位
LED闪烁循环/死机
在罕见的内存布局情况下 → 可能的代码执行

受影响设备（示例）

Sonoff RF Bridge（未打补丁的固件）
许多使用FreeRTOS-Plus-TCP的廉价IoT网关、网桥、嵌入式控制器

已在以下版本修复： FreeRTOS-Plus-TCP 4.3.2（添加了严格长度校验）

参考资料

攻击流程图

graph TD
    A[Attacker on same LAN] -->|"1. Craft oversized DNS name"| B["`UDP Packet
long QNAME (~500+ bytes)`"]
    B -->|"2. Send to multicast"| C{Target Protocol}
    C -->|LLMNR| D[224.0.0.252:5355]
    C -->|mDNS| E[224.0.0.251:5353]
    D --> F["`FreeRTOS-Plus-TCP
LLMNR/mDNS Parser`"]
    E --> F
    F -->|"No length check + Scheme 1"| G[Fixed-size buffer overflow]
    G --> H["`Out-of-bounds Write
CWE-787`"]
    H --> I{Outcome}
    I -->|"Common"| J[Crash / Reboot / Watchdog]
    I -->|"Memory layout dependent"| K[Potential RCE / Code Execution]
    I -->|"Data after buffer"| L[Memory corruption / Info leak]

要求

Python 3.6+
仅需标准库（socket、sys）——无需外部包

使用方法

# LLMNR攻击（默认多播）
python3 exploit.py LLMNR

# mDNS攻击
python3 exploit.py mDNS

# 自定义多播IP（很少需要）
python3 exploit.py LLMNR 224.0.0.252
python3 exploit.py mDNS 224.0.0.251

预期输出：

[+] Sending 523-byte LLMNR query → target 224.0.0.252:5355
[+] Sent. Watch for immediate crash, reboot, LED blink loop, or freeze.

如何安全测试

在隔离的实验室网络中使用存在漏洞的Sonoff RF Bridge或自定义FreeRTOS设备。
确认已启用LLMNR/mDNS（UDP 5355或5353端口开放）。
在同一局域网的另一台机器上运行脚本。
在几秒内观察崩溃/重启。

免责声明 – 法律与道德须知

本代码仅供教育、研究和漏洞演示目的。
严禁在未获得所有者明确书面许可的情况下，使用此漏洞利用代码攻击任何系统或网络。
未经授权使用可能违反法律（计算机欺诈与滥用法案等）。
作者不对任何滥用或损害负责。

许可证

MIT许可证 – 请参见 LICENSE 文件（如果缺少，请自行添加）。

最受欢迎

CVE-2025-5688-FreeRTOS-Plus-TCP-Out-of-Bounds-Write