CVE-2025-47423 – Local File Inclusion im Personal Weather Station Dashboard (12_lts)

Entdeckt von: Matthew Eagle
Status: Öffentliche Offenlegung
Meldedatum: 2025-05-05
CVE-ID: CVE-2025-47423

---

🧩 Zusammenfassung

Eine Schwachstelle für Local File Inclusion (LFI) im Personal Weather Station Dashboard Version 12_lts ermöglicht es nicht authentifizierten Remote-Angreifern, beliebige Dateien auf dem Server zu lesen. Die Ausnutzung dieser Schwachstelle gewährt Zugriff auf sensible Dateien, einschließlich privater SSL-Schlüssel, was potenziell die Vertraulichkeit und Integrität von HTTPS-Verbindungen gefährdet.

---

🛠 Betroffene Komponente

• Datei: /others/_test.php
• Anfälliger Parameter: test (via GET)

---

📈 Auswirkung

Diese Schwachstelle ermöglicht es Remote-Angreifern:

• Beliebige Dateien im Dateisystem zu lesen
• Private SSL-Schlüssel offenzulegen (z. B. server.key)
• Man-in-the-Middle-Angriffe (MITM) durchzuführen
• Den HTTPS-Server zu imitieren

CVSS: 5.8 Mittel

---

💥 Proof of Concept (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

Antwort:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

---

🧪 Anfälliger Code (vereinfacht)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

Das str_replace reicht nicht aus, um Directory Traversal zu verhindern.

---

🔐 Sichere Behebung

• Strikte Allowlist für Include-Ziele verwenden
• Eingaben mit basename() bereinigen und gegen erlaubte Dateien prüfen
• Dynamische Einbindung basierend auf Benutzereingaben vermeiden

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

---

📅 Zeitverlauf

Datum	Ereignis
2025-05-05	Schwachstelle an PWS Dashboard-Moderatoren gemeldet
2025-05-06	Bestätigung und Tests beobachtet
2025-05-07	CVE-2025-47423 über MITRE reserviert
2025-06-07	Öffentlicher Patch und CVE-Eintrag bestätigt

---

🧠 Gegenmaßnahmen

Wenn Sie Personal Weather Station Dashboard 12_lts betreiben, sollten Sie:

• _test.php sofort entfernen oder aktualisieren
• Das korrigierte Skript mit Datei-Whitelisting implementieren
• Alle kompromittierten TLS-Zertifikate rotieren und neu ausstellen

---

🧾 Referenzen

• CVE-2025-47423 auf MITRE (ausstehend)
• Advisory auf GitHub veröffentlicht

---

🙏 Danksagung

Schwachstelle entdeckt und verantwortungsvoll offengelegt von Matthew Eagle
Kontakt: [email protected]

---

Die Offenlegung erfolgte in Übereinstimmung mit den Richtlinien zur verantwortungsvollen Offenlegung. Dieses Dokument wird zu Bildungs- und Verteidigungszwecken veröffentlicht.