DaqFactory 5.85 build 1853 – Stack Overflow
####################################################################### Luigi Auriemma Application: DAQFactory http://www.azeotech.com/daqfactory.php Versions: <= 5.85 build 1853 Platforms: Windows Bug: stack overflow Exploitation: remote Date: 13 Sep 2011 Author: Luigi Auriemma e-mail: aluigi@autistici.org web: aluigi.org ####################################################################### 1) Introduction 2) Bug 3) The Code 4) Fix ####################################################################### =============== 1) Introduction =============== DAQFactory is an HMI/SCADA software. ####################################################################### ====== 2) Bug ====== When DAQFactory is running it listens on the UDP port 20034 for NETB packets of max 0x400 bytes. The software is affected by a stack overflow in the code that logs the informations of the incoming packet allowing an attacker to execute malicious code: 005C3FB0 /$ 6A FF PUSH -1 005C3FB2 |. 68 E6777D00 PUSH DAQFacto.007D77E6 005C3FB7 |. 64:A1 00000000 MOV EAX,DWORD PTR FS:[0] 005C3FBD |. 50 PUSH EAX 005C3FBE |. 64:8925 00000000 MOV DWORD PTR FS:[0],ESP 005C3FC5 |. 81EC 2C020000 SUB ESP,22C ...skip... 005C41B2 |. 8D8C24 7C010000 LEA ECX,DWORD PTR SS:[ESP+17C] 005C41B9 |. 68 B02C9000 PUSH DAQFacto.00902CB0 ; "MAC:[%02x-%02X-%02X-%02X-%02X-%02X] IP:%d.%d.%d.%d DHCP:%d.%d.%d.%d %s%s" 005C41BE |. 51 PUSH ECX 005C41BF |. FF15 6CC07F00 CALL DWORD PTR DS:[<&MSVCRT.sprintf>] ..and.. 005C423A |. 8D8C24 6C010000 LEA ECX,DWORD PTR SS:[ESP+16C] 005C4241 |. 68 682C9000 PUSH DAQFacto.00902C68 ; "MAC: [%02x-%02X-%02X-%02X-%02X-%02X] IP:%d.%d.%d.%d %s%s" 005C4246 |. 51 PUSH ECX 005C4247 |. FF15 6CC07F00 CALL DWORD PTR DS:[<&MSVCRT.sprintf>] ####################################################################### =========== 3) The Code =========== http://aluigi.org/poc/daqfactory_1.dat https://gitlab.com/exploit-database/exploitdb-bin-sploits/-/raw/main/bin-sploits/17841.dat nc SERVER 20034 -u < daqfactory_1.dat ####################################################################### ====== 4) Fix ====== No fix. ####################################################################### |