🇰🇷 한글 설명
odhcpd는 OpenWrt에서 사용되는 DHCPv6, DHCPv4 및 라우터 광고 서버이다. 버전 17.01.0부터 25.12.3 이전까지 DHCPv6 IA 파서가 IA 본문 길이를 검증하지 않고 IAID 필드를 읽어, 인접한 스택 메모리(스택 카나리 및 ASLR 관련 정보 포함)가 응답 IAID를 통해 노출될 수 있다. 해당 문제는 25.12.3 버전에서 패치되었다.
💡 쉬운 설명
네트워크에 연결된 공격자가 조작된 DHCPv6 요청을 보내면 라우터 서버의 내부 메모리 일부를 훔쳐볼 수 있습니다. 이 정보는 다른 공격의 발판으로 악용될 수 있습니다.
🇺🇸 원문 (English)
odhcpd is the DHCPv6, DHCPv4, and router-advertisement server used by OpenWrt. From version 17.01.0 to before version 25.12.3, odhcpd's DHCPv6 IA parser accepts an IA_NA or IA_PD option whose body is shorter than struct dhcpv6_ia_hdr, casts the option header to that full structure, and reads ia->iaid before proving that the IA body contains the IAID field. If an unauthenticated network-adjacent client places a zero-length or otherwise short IA option at the end of odhcpd's 8192-byte receive stack buffer, the IAID read crosses from data_buf into adjacent stack memory. The disclosed bytes are then reflected in the DHCPv6 reply IAID; prior ARM validation showed data_buf[8192:8196] disclosing the saved stack canary, and wider stack scans can leak ASLR-useful stack/process contents. This issue has been patched in version 25.12.3.
📍 영향받는 시스템
OpenWrt의 odhcpd 17.01.0 이상 25.12.3 미만 버전
⚔️ 공격 벡터
같은 네트워크에 있는 인증되지 않은 공격자가 길이가 짧거나 0인 IA_NA/IA_PD 옵션을 포함한 DHCPv6 패킷을 전송하여 스택 메모리를 응답으로 유출시킴
🛡️ 대응 방법
odhcpd를 25.12.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 25.12.3 미만이면 취약하므로 25.12.3 이상으로 업데이트가 필요하고, 25.12.3 이상이면 패치가 적용된 상태이다.
opkg list-installed odhcpd 2>/dev/null | grep odhcpd