OpenWrt phát hành bản vá lỗ hổng DHCPv6 odhcpd cho phép thực thi mã từ xa với quyền root
"OpenWrt released version 24.10.8, and later 25.12.5, to fix a critical unauthenticated DHCPv6 stack overflow in odhcpd tracked as CVE-2026-53921 (CVSS 9.8). The flaw could let a network-accessible attacker send crafted DHCPv6 traffic to overwrite a stack buffer and potentially execute code as root on affected routers; the update also addressed additional pre-authentication issues in odhcpd and other default services, with no confirmed in-the-wild exploitation reported at the time."
Nguy cơ cao do CVE-2026-53921 cho phép ghi đè ngăn xếp và có thể dẫn tới thực thi mã từ xa với quyền root khi kẻ tấn công truy cập được DHCPv6.
Tác động vận hành đáng kể vì thiết bị biên có thể bị chiếm quyền; tuy nhiên mức độ ảnh hưởng phụ thuộc vào việc DHCPv6/odhcpd có được bật và thiết bị có tiếp xúc mạng hay không.
OpenWrt đã phát hành 24.10.8 (nhánh 24.10) và 25.12.5 (nhánh 25.12) để khắc phục lỗ hổng DHCPv6 stack overflow trong dịch vụ odhcpd, được theo dõi là CVE-2026-53921 với điểm CVSS 3.1 = 9.8. Theo advisory, kẻ tấn công chưa xác thực nhưng có thể truy cập mạng tới cổng UDP 547 có thể gửi DHCPv6 REQUEST được chế tạo để ghi đè bộ đệm ngăn xếp và tiềm năng thực thi mã với quyền root trên thiết bị bị ảnh hưởng. Advisory cũng lưu ý phần cứng nhúng thường thiếu stack canaries và ASLR, làm tăng khả năng khai thác.
Bản vá kiểm tra lại dung lượng bộ đệm phản hồi trước khi nối thêm dữ liệu. OpenWrt cho biết tại thời điểm rà soát (28/7/2026) chưa ghi nhận khai thác “in the wild”, và lỗ hổng không xuất hiện trong CISA KEV (phiên bản 2026.07.27).
Ngoài ra, bản phát hành còn xử lý nhiều vấn đề tiền xác thực khác trong odhcpd, cùng các lỗi ở dịch vụ mặc định như uhttpd và cgi-io (ví dụ CVE-2026-62948, CVE-2026-62947). Khuyến nghị: nâng cấp lên 24.10.8/25.12.5, cập nhật các gói cài đặt rời, rà soát quyền LuCI được ủy quyền và gỡ các ứng dụng tùy chọn không dùng.