CVE-2021-27137
DD-WRT Stack-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2021-27137 ist ein stack-basierter Buffer Overflow in der UPnP-Verarbeitung von DD-WRT, der Open-Source-Router-Firmware. Ein unsicheres strcpy in router/upnp/src/ssdp.c erlaubt es einem nicht authentifizierten Angreifer aus der Ferne, per SSDP-M-SEARCH-Anfrage einen internen Puffer fester Größe in ssdp_msearch zu überschreiben — auf einem eingebetteten Router bedeutet das Kontrolle über den Stack-Speicher und damit über das Gerät. Betroffen sind Versionen vor Build 45724. Die Ausnutzung setzt voraus, dass der DD-WRT-Benutzer UPnP aktiviert hat; es ist standardmäßig deaktiviert und lauscht standardmäßig nur auf internen Schnittstellen — deshalb liegt der CVSS-Wert bei 8.1 (Hoch) mit hoher Angriffskomplexität und nicht bei glatten 9.8. CISA hat CVE-2021-27137 mit Frist 24.07.2026 in den KEV-Katalog aufgenommen, und öffentliche Forschung verbindet diese DD-WRT-Schwachstelle mit aktiver Botnet-Verbreitung: Das Alter der CVE sagt nichts darüber aus, wie aktuell das Risiko ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dd-wrt | dd-wrt | < 45724 |
Referenzen
- https://securityaffairs.com/193290/uncategorized/iot-botnet-c0xmo-adds-competitor-killing-capability.html(Exploit, Third Party Advisory)
- https://ssd-disclosure.com/ssd-advisory-dd-wrt-upnp-buffer-overflow/(Exploit, Third Party Advisory)
- https://svn.dd-wrt.com/changeset/45724(Patch)
- https://www.bleepingcomputer.com/news/security/c0xmo-botnet-spreads-via-dd-wrt-router-flaw-kills-rival-malware/(Exploit, Third Party Advisory)
- https://www.fortinet.com/blog/threat-research/inside-cross-platform-propagation-of-new-gafgyt-variant-c0xmo(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-27137(US Government Resource)
Schwachstellentyp
CWE-121: Stack-basierter Buffer Overflow
Ein stack-basierter Buffer Overflow tritt auf, wenn ein auf dem Stack angelegter Puffer mit mehr Daten beschrieben wird, als er aufnehmen kann, wodurch benachbarte Stack-Inhalte wie gespeicherte Rücksprungadressen und Frame-Pointer überschrieben werden und ein Angreifer den Programmablauf umlenken kann. In DD-WRT kopiert der UPnP-SSDP-Handler angreiferkontrollierte Anfragedaten mit strcpy in einen lokalen Puffer fester Größe — eine Funktion, die überhaupt keine Grenzprüfung durchführt —, sodass eine übergroße M-SEARCH-Anfrage über das Pufferende hinaus schreibt und den Stack-Frame von ssdp_msearch beschädigt.
Mehr erfahren: CWE-121 — Stack-basierter Buffer Overflow
Auswirkungsanalyse
CVE-2021-27137 hat einen CVSS-3.1-Basiswert von 8.1 (Hoch): aus der Ferne ohne physischen Zugriff ausnutzbar, ohne Authentifizierung und ohne Benutzerinteraktion, während die hohe Angriffskomplexität die Konfigurationsvoraussetzung widerspiegelt, dass UPnP aktiviert und erreichbar sein muss, sowie den Aufwand, den Overflow in eine zuverlässige Ausführung zu überführen. Vertraulichkeit (Hoch): Kontrolle über den Router legt den weitergeleiteten Verkehr, die Konfiguration und gespeicherte Zugangsdaten wie WAN- und WLAN-Geheimnisse offen. Integrität (Hoch): Ein Angreifer kann Firewall- und DNS-Einstellungen umschreiben, Clients umleiten oder persistente Malware in der Firmware-Umgebung installieren. Verfügbarkeit (Hoch): Eine Stack-Beschädigung kann den UPnP-Dienst oder das Gerät zum Absturz bringen, und ein Angreifer mit Kontrolle kann den Router einfach abschalten. Bedeutung gewinnt das durch die Geräteklasse: Ein kompromittierter Router sitzt zwischen jedem Client im Netz und dem Internet, und die referenzierte Forschung beschreibt die Nutzung des Fehlers zur Botnet-Verbreitung — die Ausnutzung zielt also nicht auf ein einzelnes Ziel, sondern auf Masse.
Exploit-Reifegrad
CVE-2021-27137 wird ausgenutzt: CISA führt die Lücke mit Frist 24.07.2026 im Katalog der Known Exploited Vulnerabilities, ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft. Öffentliches Exploit-Material ist verfügbar — die ursprüngliche technische Veröffentlichung bei SSD Secure Disclosure dokumentiert den DD-WRT-UPnP-Buffer-Overflow —, und mehrere Threat-Research-Referenzen verknüpfen den Fehler mit realer Malware-Aktivität: Berichte zum IoT-Botnet c0xmo bei Security Affairs und BleepingComputer beschreiben, dass sich das Botnet über eine DD-WRT-Router-Schwachstelle verbreitet und konkurrierende Malware entfernt, und Fortinets Analyse der Gafgyt-Variante c0xmo untersucht deren plattformübergreifende Verbreitung. Der EPSS-Wert von 16,5 % (96,7. Perzentil) ist für eine fünf Jahre alte CVE hoch und zeigt, dass die automatisierte Ausnutzung andauert und nicht historisch ist. Praktische Einschätzung: Ist UPnP auf einem betroffenen DD-WRT-Build aktiviert, handeln Sie jetzt — Botnet-Betreiber scannen genau nach dieser Konfiguration.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 24.07.2026.
- Aktualisieren Sie DD-WRT auf einen Build neuer als 45724, der den Fix enthält; die Änderung ist als DD-WRT-Changeset 45724 veröffentlicht. Geräte mit Community- oder herstellerspezifischen DD-WRT-Images sollten einzeln geprüft werden, da die Build-Nummern je nach Hardware-Ziel abweichen.
- Deaktivieren Sie UPnP auf dem Router, sofern es nicht wirklich benötigt wird. UPnP ist in DD-WRT standardmäßig aus und lauscht im aktivierten Zustand standardmäßig nur auf internen Schnittstellen — die ausnutzbare Konfiguration wurde also bewusst geändert, und ihre Rücknahme entfernt die Angriffsfläche vollständig ohne Firmware-Wechsel.
- Muss UPnP aktiviert bleiben, stellen Sie sicher, dass der SSDP-Dienst nicht über die WAN-Schnittstelle erreichbar ist, sperren Sie eingehendes UDP auf Port 1900 am Netzübergang und beschränken Sie, welche internen Segmente den Dienst erreichen dürfen, da der Overflow durch eine M-SEARCH-Anfrage ausgelöst wird.
- Behandeln Sie Router mit betroffenem Build und WAN-seitigem UPnP als möglicherweise kompromittiert: DNS- und Firewall-Einstellungen auf unautorisierte Änderungen prüfen, auf unerwartete ausgehende Verbindungen achten, bei Verdacht die Firmware neu flashen statt in-place zu aktualisieren und administrative sowie WLAN-Zugangsdaten rotieren. Zur langfristigen Härtung gegen stack-basierte Buffer Overflows (CWE-121): längenbegrenzte String-Funktionen statt
strcpyverwenden, Compiler-Schutzmechanismen wie Stack-Canaries und ASLR in Embedded-Builds aktivieren und netzseitige Parser mit Fuzzing prüfen.
Technische Details
Der Fehler hinter CVE-2021-27137 ist ein einzelnes unsicheres strcpy in router/upnp/src/ssdp.c innerhalb der UPnP-Implementierung von DD-WRT, erreichbar über ssdp_msearch, den Handler für SSDP-M-SEARCH-Discovery-Anfragen. strcpy kopiert bis zum Null-Terminator und führt keine Längenprüfung durch: Eine Anfrage, die länger ist als der interne Puffer fester Größe, schreibt darüber hinaus und überschreibt benachbarte Stack-Daten, darunter die gespeicherte Rücksprungadresse, die bestimmt, wo die Ausführung nach dem Funktionsende fortsetzt (CWE-121). Der Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H hält die Lage fest: Der Angriff wird über das Netzwerk zugestellt (AV:N), ohne Rechte (PR:N) und ohne Benutzerinteraktion (UI:N), und Vertraulichkeit, Integrität sowie Verfügbarkeit sind jeweils mit „Hoch" betroffen, weil Kontrolle über den Router-Prozess auf einem eingebetteten System in der Regel Kontrolle über das Gerät bedeutet. Die Einstufung AC:H kodiert zwei reale Bedingungen: UPnP muss vom Betreiber aktiviert worden sein, da DD-WRT es deaktiviert und nur an interne Schnittstellen gebunden ausliefert, und eine Stack-Beschädigung auf einem MIPS- oder ARM-Router-Ziel erfordert einen für diese Architektur funktionierenden Payload. Alle DD-WRT-Builds vor 45724 enthalten die verwundbare Kopie.
Häufig gestellte Fragen
Wird CVE-2021-27137 aktiv ausgenutzt?
Ja. CVE-2021-27137 steht mit Behebungsfrist 24.07.2026 im CISA-Katalog der Known Exploited Vulnerabilities, und veröffentlichte Threat-Research führt die Kompromittierung von DD-WRT-Routern auf das IoT-Botnet c0xmo zurück, eine Gafgyt-Variante. Ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft, und der EPSS-Wert von 16,5 % entspricht dem 96,7. Perzentil, was für eine 2021 veröffentlichte Schwachstelle ungewöhnlich hoch ist.
Welche Produkte sind von CVE-2021-27137 betroffen?
Betroffen ist die DD-WRT-Router-Firmware in allen Builds vor 45724. Der verwundbare Code liegt in der UPnP-Komponente router/upnp/src/ssdp.c, die Ausnutzung setzt daher zusätzlich voraus, dass der DD-WRT-Benutzer UPnP aktiviert hat; es ist standardmäßig deaktiviert und lauscht im aktivierten Zustand standardmäßig nur auf internen Schnittstellen.
Wie behebe ich CVE-2021-27137?
Aktualisieren Sie DD-WRT auf einen Build neuer als 45724, der den als DD-WRT-Changeset 45724 veröffentlichten Fix enthält. Die schnellste Mitigation ist, UPnP vollständig zu deaktivieren; muss es aktiviert bleiben, stellen Sie sicher, dass der SSDP-Dienst auf UDP-Port 1900 nicht vom WAN erreichbar ist, und rotieren Sie die Router-Zugangsdaten, falls das Gerät exponiert war.
Wie schwerwiegend ist CVE-2021-27137?
CVE-2021-27137 ist mit einem CVSS-3.1-Basiswert von 8.1 als Hoch eingestuft: nicht authentifiziert und aus der Ferne nutzbar, mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit, aber mit hoher Angriffskomplexität, weil UPnP aktiviert sein muss und die Speicherbeschädigung für die Architektur des Routers waffenfähig gemacht werden muss. Auf einem Gerät, das den gesamten Verkehr eines Netzes steuert, ist eine erfolgreiche Ausnutzung praktisch eine vollständige Kompromittierung, und der bestätigte Botnet-Einsatz zeigt, dass diese Hürde in der Praxis längst überwunden ist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.