CVE-2021-27821

luci-lib-px5g (LuCI) zawiera przepełnienie bufora na stercie w natywnej procedurze kodowania ASN.1 asn1_add_obj (x509write.c) podczas podpisywania certyfikatu kluczem RSA 2040-bitowym. Dla 255-bajtowego podpisu alokacja BIT STRING jest obliczana na podstawie długości DER 255 bajtów, ale ładunek zapisywany po dodaniu bajtu nieużywanych bitów ma 256 bajtów, co wymaga dodatkowego oktetu długości DER. W rezultacie alokacja wynosi 259 bajtów, podczas gdy tag, długość, bajt nieużywanych bitów i podpis wymagają 260 bajtów, a końcowe memcpy zapisuje jeden bajt poza bufor. Przepełnienie jest osiągalne przez eksportowany interfejs Lua za pomocą create_selfsigned(); to, czy jest zdalnie wykorzystywalne, zależy od aplikacji osadzającej. Podatny kod występuje w gałęziach openwrt-18.06 do openwrt-25.12 i jest nieobecny w master, gdzie pakiet luci-lib-px5g został usunięty, a nie załatany.

Podatność w LuCI polega na braku odpowiedniego kodowania nazw hostów z dzierżaw DHCPv6 przed wyświetleniem w tabelach statusu. Umożliwia to atakującym z sąsiedniej sieci wstrzyknięcie kodu HTML poprzez wysłanie zapytania DHCPv6 z nazwą FQDN zawierającą znaczniki skryptu.