CVE-2026-90680 : D-Link DIR-823G Débordement de Pile dans HNAP1 SetStaticRouteSettings

HERMES

HERMES THREAT SCORE & EXPOSITION DU PÉRIMÈTRE

Cible : Passerelle Réseau, Démon DHCP/L2TP & Équipements de Routage Périphérique

Confiance : 96%

95 / 100

EXTRÊME

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 19 / 20

Militarisation 20 / 20

Exposition 20 / 20

Prévalence 18 / 20

Impact 20 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le standard CVSS v3.1 attribue un score de 9.9 Critique (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Le Hermes Threat Score évalue cette menace à 95 afin de refléter son accessibilité directe à distance sans authentification, l'absence structurelle de protections mémoire modernes (ASLR, canaris de pile, DEP/NX) sur ces systèmes Linux embarqués MIPS/ARM, et leur ciblage intensif par les botnets IoT (variantes Mirai/Mozi).

HASS

SÉVÉRITÉ AGENTIQUE HASS & IMPACT SUR LES PÉRIMÈTRES DISTRIBUÉS

Cible : Passerelle Périphérique, Interception DNS & Routage des Flux d'Agents

Confiance : 88%

62 / 100

MODÉRÉ

Mesure le risque systémique spécifique découlant de l'autonomie, de l'autorité des outils et de l'exécution en cascade.

Décomposition des dimensions

Autonomie décisionnelle 11 / 20

Accès aux outils & APIs 13 / 20

Privilege 15 / 15

Persistence 14 / 15

External Impact 12 / 15

Propagation 15 / 15

⚖️ Divergence & Justification opérationnelle

Bien que les routeurs de bordure n'exécutent pas directement d'agents LLM autonomes, la compromission de la passerelle confère à l'adversaire une position Man-in-the-Middle (MITM) absolue permettant d'intercepter et de manipuler le trafic API et les appels d'outils MCP des clusters d'agents locaux.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-90680: D-Link DIR-823G HNAP1 SetStaticRouteSettings Buffer OverflowVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTLinux Kernel Core

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Linux Kernel Core documented in Hermes dossier.”

Preuves vérifiées associées :

[vulnerability_report]
[government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Le D-Link DIR-823G est un équipement de routage réseau largement déployé au sein des succursales d’entreprises, chez les télétravailleurs et dans les réseaux domestiques avancés.

La vulnérabilité CVE-2026-90680 réside dans le composant /HNAP1/SetStaticRouteSettings, précisément au niveau du flux d’exécution strcpy. Un attaquant distant non authentifié disposant d’un accès réseau à l’équipement peut exploiter ce défaut via le paramètre PAddress, SubnetMask, Gateway XML nodes pour exécuter du code arbitraire avec les privilèges d’administration maximaux (root). L’équipement ayant atteint le statut de fin de vie commerciale (End-of-Life / EOL) sans correctif prévu par le fabricant, son isolement ou son remplacement immédiat est impératif.

1. Contexte Technique & Matrice des Logiciels Affectés

Le système repose sur un noyau Linux allégé (généralement 2.6.x ou 3.x) couplé à BusyBox et des démons propriétaires compilés pour l’architecture MIPS 32-bit (Little Endian). Les mécanismes de protection mémoire tels que l’ASLR, l’interdiction d’exécution de pile (NX/DEP) ou les canaris de compilation (Stack Canaries) sont systématiquement absents de ces firmwares patrimoniaux.

Paramètre	Spécification Technique	Impact Opérationnel
Identifiant CVE	`CVE-2026-90680`	Fiche officielle CVE / Avis de sécurité constructeur
Produit Affecté	D-Link DIR-823G	Révision matérielle Rev A1
Version Vulnérable	`1.0.2B05_20181207`	Version de micrologiciel identifiée
Classe de Vulnérabilité	`CWE-121`	Débordement de tampon sur la pile
Fichier / Fonction Cible	`/HNAP1/SetStaticRouteSettings`	Fonction : `strcpy`
Architecture Cible	`MIPS 32-bit (Little Endian)`	Linux embarqué / environnement BusyBox
Vecteur d’Attaque	Requête réseau distante non authentifiée	Interface LAN ou WAN exposée
Privilèges Requis	Aucun (`PR:N`)	Attaque préalable à toute authentification
Accès Obtenu	Root (`uid=0`, `gid=0`)	Contrôle total du noyau et du shell système
Statut du Correctif	Équipement en Fin de Vie (EOL)	Remplacement matériel ou micro-segmentation pare-feu

2. Anatomie de la Faille & Analyse de la Cause Racine

Agencement de la Mémoire et Déroulement de la Faille

Le défaut provient d’un traitement non sécurisé des entrées utilisateurs dans /HNAP1/SetStaticRouteSettings :

// Représentation décompilée de la routine vulnérable dans /HNAP1/SetStaticRouteSettings
// Architecture : MIPS 32-bit (Little Endian)
void process_packet_buffer(char *client_input, int input_len) {
    char stack_buffer[128]; // Allocation locale de taille fixe sur la pile

    // VULNÉRABILITÉ : Absence de validation des limites sur le paramètre contrôlé par l'attaquant
    // Paramètre : PAddress, SubnetMask, Gateway XML nodes
    strcpy(stack_buffer, client_input);

    // Organisation de la pile :
    // [stack_buffer: 128 octets] -> [frame pointer sauvé $fp: 4 octets] -> [adresse de retour sauvée $ra: 4 octets]
    // L'écrasement de $ra permet le détournement du flux d'exécution vers un shellcode ou une chaîne ROP
    handle_parsed_data(stack_buffer);
}

Mécanique d’Exploitation sur Architecture `MIPS 32-bit (Little Endian)`

Sur architecture MIPS 32-bit (Little Endian), la convention d’appel sauvegarde l’adresse de retour de fonction dans le registre de lien ($ra) ou dans une case mémoire dédiée de la pile d’exécution. Lorsqu’un attaquant transmet une charge utile dépassant la capacité du tampon :

Écrasement de la pile : La charge écrase le tampon local, le pointeur de cadre de pile ($fp), puis l’adresse de retour ($ra).
Gestion des caches d’instructions : Sur MIPS, les caches de données et d’instructions étant séparés, l’exécution directe de shellcode nécessite souvent un saut préalable vers une fonction comme sleep() ou cacheflush() dans la libc pour purger les caches.
Détournement du flux d’exécution : Dans le cas d’une injection de commande OS, l’absence de filtrage des métacaractères transmet directement la charge utile au sous-shell /bin/sh, entraînant l’exécution instantanée de commandes sous l’identité root.

3. Vecteurs d’Attaque & Flux d’Exécution Forensique

sequenceDiagram
    autonumber
    actor Attaquant as Attaquant / Botnet IoT
    participant Routeur as D-Link DIR-823G
    participant Demon as /HNAP1/SetStaticRouteSettings (strcpy)
    participant OS as Shell Linux (root)
    participant LAN as Réseau Local Interne

    Attaquant->>Routeur: Transmission du paquet forgé (PAddress, SubnetMask, Gateway XML nodes)
    Note over Routeur: Réception sur l'interface réseau
    Routeur->>Demon: Transmission au composant interne
    Note over Demon: Exécution dans strcpy
    Demon->>Demon: Corruption mémoire / commande non assainie
    Demon->>OS: Instanciation du shell root / exécution
    OS-->>Attaquant: Shell interactif ou téléchargement de charge malveillante
    OS->>LAN: Mouvement latéral et interception des flux

Reconnaissance du Périphérique : L’attaquant balaie les plages d’adresses IP pour identifier les bannières HTTP, les terminaux HNAP ou les services DHCP caractéristiques des routeurs D-Link DIR-823G.
Livraison de la Charge Utile : Envoi d’un paquet spécialement forgé exploitant PAddress, SubnetMask, Gateway XML nodes selon la méthode : Requête HTTP POST sur /HNAP1/ avec l'entête SOAPAction SetStaticRouteSettings contenant plus de 1024 octets dans la balise PAddress..
Prise de Contrôle : La sous-routine strcpy traite la donnée non filtrée, déclenchant un(e) Débordement de tampon sur la pile.
Exécution de Commandes : Exécution directe d’une commande d’amarrage (ex: telnetd -p 4444 -l /bin/sh ou téléchargement d’un binaire botnet via wget).
Persistance & Ralliement : L’équipement compromis est intégré à un botnet IoT (Mirai, Mozi) pour mener des attaques DDoS massives ou intercepter les communications du réseau local.

4. Triage Forensique & Réponse à Incident

Les équipes de réponse à incident et d’investigation numérique peuvent appliquer les commandes suivantes lors du triage d’une passerelle D-Link DIR-823G :

Commandes de Triage en Direct (via Console Série ou Telnet/SSH)

# 1. Inspection des processus actifs et détection de binaires suspects dans /tmp ou /var
ps | grep -E "wget|curl|telnetd|sh|bot|mips"

# 2. Vérification des sockets réseau en écoute et connexions sortantes établies
netstat -anp | grep -E "ESTABLISHED|LISTEN"

# 3. Examen des systèmes de fichiers temporaires montés en mémoire vive
ls -la /tmp /var /var/run /dev/shm

# 4. Audit des variables NVRAM pour détecter des serveurs DNS modifiés ou scripts de boot
nvram show | grep -E "dns|wan_dns|rc_local|boot|startup"

# 5. Inspection des règles de filtrage iptables pour détecter d'éventuelles ouvertures WAN
iptables -L -n -v

alert ip any any -> $HOME_NET any (
  msg:"HERMES-CODEX EXPLOIT Tentative d'Exploitation D-Link DIR-823G (CVE-2026-90680)";
  content:"PAddress,"; nocase;
  threshold: type limit, track by_src, count 1, seconds 60;
  classtype:attempted-admin;
  sid:90680;
  rev:1;
  metadata:cve CVE-2026-90680, severity critical, product dir-823g;
)

title: Tentative d'Exploitation D-Link DIR-823G CVE-2026-90680
id: sig-fr-cve-2026-90680
status: critical
description: Détecte les requêtes réseau ciblant les points d'accès vulnérables sur les équipements D-Link DIR-823G.
author: Hermes Codex Detection Engineering
date: 2026-09-23
logsource:
  category: firewall
  product: generic
detection:
  selection:
    cs-uri-stem|contains:
      - 'SetStaticRouteSettings'
      - 'strcpy'
  condition: selection
level: critical
tags:
  - attack.initial_access
  - attack.t1190
  - cve.cve-2026-90680

6. Remédiation & Guide de Durcissement

Politique de Fin de Vie (EOL) & Remplacement Matériel

Remplacement du Matériel : Comme indiqué dans l’avis de sécurité constructeur VulDB-277520 / D-Link Notice, le modèle DIR-823G a franchi sa date de Fin de Vie (EOL). D-Link ne publie aucun correctif pour les matériels obsolètes. La recommandation prioritaire consiste à remplacer immédiatement l’équipement par un matériel activement soutenu.

Mesures Palliatives d’Urgence

Désactivation de l’Administration Distante : Vérifier que l’interface de gestion web (ports 80 / 443) n’est en aucun cas accessible depuis l’interface WAN Internet.
Isolation Réseau : Positionner tout équipement hérité résiduel dans un VLAN dédié sans connectivité directe avec les sous-réseaux critiques de l’organisation.
Filtrage Pare-feu Amont : Bloquer tout flux entrant vers les ports de gestion (TCP 80, TCP 443, TCP 1701, UDP 67/68) en provenance de réseaux non de confiance.

7. Recherches Corrélées & Références Internes

CVE-2026-7273 : Débordement de Pile dans les Commutateurs Zyxel : Analyse des vecteurs d’attaque sur les firmwares d’équipements réseau.
CVE-2026-93952 : Contournement d’Authentification Arista VeloCloud : Compromission du plan de contrôle SD-WAN.
Analyse Forensique Mémoire & Processus Linux : Guide d’investigation sur systèmes Linux et BusyBox.
Playbook de Durcissement de Périphérie Réseau : Méthodologies de sécurisation des équipements en bordure de réseau.

Sources & Références

Avis de Sécurité Officiel D-Link : Publication de Sécurité VulDB-277520 / D-Link Notice
National Vulnerability Database (NVD) : Fiche Complète CVE-2026-90680
Référentiel Officiel CVE : Enregistrement Canonique CVE-2026-90680