Hacktoberfest 2026: as issues que os mantenedores marcaram para outubro, abertas e boas para iniciantes. Ver issues do Hacktoberfest

DHCP server unbounded option parsing - OOB read from packet buffer

Fechada
  • Algo errado?
#11,323 0 comentários 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

@cms19859230182-lang já está trabalhando nisso.

Desde 8/10/2026.

  • #11858 de @cms19859230182-lang — aberto

Avaliação

Dificuldade
3/5
Tempo estimado
1-2 dias
Facilidade para iniciantes
68/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Pouca atividade
Stack de tecnologia
c
Domínio
embedded-iot, networking, security

Direção de pesquisa

Comece em components/net/lwip-dhcpd/dhcp_server.c na linha 346 e rastreie como o tamanho do pacote recebido e a posição da opção são representados. Compile o servidor DHCP com AddressSanitizer e envie o pacote DHCP malformado descrito, incluindo marcadores de fim ausentes e comprimentos de opção excessivos. Está concluído quando opções malformadas não causarem mais leituras além do buffer do pacote.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

RT-Thread Version

tested HEAD, commit 38c007af

Hardware Type/Architectures

independent (Bug is in lwip-dhcpd C implementation)

Develop Toolchain

Other

Describe the bug
Summary

A buffer over-read vulnerability exists in RT-Thread's DHCP server implementation (components/net/lwip-dhcpd/dhcp_server.c) where the DHCP option parsing loop has no bounds check on the input buffer position, allowing a crafted DHCP packet to read past the allocated buffer.

Details

File: components/net/lwip-dhcpd/dhcp_server.c, line 346

The DHCP options parsing loop uses while(finished == 0) to iterate through options in the received packet. The loop reads option type and length fields from the packet data but does NOT check whether the current read position exceeds the packet buffer boundary.

/* dhcp_server.c:346 */
while(finished == 0) {
    /* reads option type and length from packet data */
    /* NO check that position < packet_length */
}

Since DHCP packets are received over the network with no authentication, this is reachable pre-authentication on the local network segment.

PoC

Send a crafted DHCP packet on the local network segment with:

  • Valid DHCP header (op=1, htype=1, hlen=6)
  • Options section containing a chain of options where each option's length field points past the end of the packet
  • No DHCP_OPTION_END (0xFF) marker

The server's option parsing loop will read past the packet buffer boundary until it hits unmapped memory (crash) or reads adjacent heap data (info leak).

Build and run the RT-Thread DHCP server component with AddressSanitizer enabled to observe the over-read:

# Cross-compile RT-Thread with ASAN, enable lwip-dhcpd,
# send crafted DHCP DISCOVER on the local interface
Other additional context
Impact
  • Out-of-bounds read from the packet buffer
  • Potential information disclosure from adjacent heap memory
  • Potential crash (DoS) if reading into unmapped memory
  • Affects any RT-Thread device running the built-in DHCP server
  • Attack vector: adjacent network (DHCP is link-local), no authentication required

Suggested fix:

- while(finished == 0) {
+ while(finished == 0 && position < packet_length) {

Also validate that position + option_length does not exceed packet_length before reading option data.

Linguagem predominante
C
Estrelas
12.3k
Forks
5.5k
Merge médio
7d 22h
PRs com merge (30d)
30

Preparar o ambiente

Abrir no Codespaces

Inicia o contêiner de desenvolvimento do projeto no navegador, com a sua própria conta do GitHub.

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de RT-Thread/rt-thread

Todas as issues de RT-Thread/rt-thread

Issues semelhantes

Mais issues de C

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.