CVE-2017-8335

AL-R096 aygıt yazılımına sahip Securifi Almond, Almond+ ve Almond 2015 cihazlarında bir sorun tespit edilmiştir. Cihaz, kullanıcıya kablosuz ağ için isim belirleme imkanı sunmaktadır. Bu değerler cihaz tarafından NVRAM (Non-volatile RAM) içerisinde saklanmaktadır. Cihazda isimleri ayarlamak için bu istekte iletilen POST parametrelerinin dize uzunluk kontrolüne tabi tutulmadığı görülmektedir. Bu durum, bir saldırganın "mssid_1" POST parametresinde büyük bir yük (payload) göndermesine olanak tanır. Cihaz ayrıca kullanıcının, kullanıcı tarafından ayarlanan Wifi Ağ ismini görüntülemesine izin verir. Bu istek işlenirken cihaz, daha önce "mssid_1" parametresi tarafından SSID2 olarak ayarlanan değeri geri çağıran 0x004268A8 adresindeki "getCfgToHTML" adlı bir fonksiyonu çağırır; bu değer daha sonra bu fonksiyon için ayarlanan yığının (stack) taşmasına neden olur ve saldırganın yığın üzerindeki $ra kaydedici değerini kontrol etmesini sağlayarak, saldırganın seçtiği bir yükü çalıştırıp cihazı kontrol etmesine imkan tanır. AL-R096 aygıt yazılımı sürümü binwalk aracıyla analiz edildiğinde, tüm ikili dosyaları içeren ve cihazda kurulu dosya sistemini barındıran bir cpio-root arşivi elde edilir. "goahead" ikili dosyası, POST isteğiyle gönderilen değerleri alan savunmasız fonksiyona sahip olan dosyadır. Bu ikili dosya IDA-pro ile açıldığında, MIPS little endian formatını takip ettiği fark edilecektir. IDA pro'daki sub_00420F38 fonksiyonunun, "mssid_1" POST parametresinde gönderilen değerleri 0x0042BA00 adresinde aldığı ve ardından 0x0042C314 adresindeki NVRAM'e kaydettiği belirlenmiştir. Değer daha sonra 0x00426924 adresindeki "getCfgToHTML" fonksiyonunda geri çağrılır ve bu fonksiyon tarafından kullanılan "strcat" fonksiyonu nedeniyle tampon bellek taşması (buffer overflow) meydana gelir.