CVE-2025-65855

HelpFlash IoT OTA-Update – Mehrere Schwachstellen

---

Zusammenfassung

Mehrere Schwachstellen im OTA-Firmware-Update-Mechanismus von Netun Solutions HelpFlash IoT ermöglichen einem Angreifer mit kurzem physischem Zugriff die Ausführung von beliebigem Code.

CVE-ID: CVE-2025-65855
Schweregrad: HOCH
CVSS v3.1 Score: 7,6 (Einschätzung des Forschers – Ausstehende NVD-Analyse)
CVSS Vektor: CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

CVSS-Aufschlüsselung

• Angriffsvektor (AV): Physisch – Kurzer physischer Zugriff (~10 Sekunden)
• Angriffskomplexität (AC): Niedrig – Hardcodierte Anmeldedaten ermöglichen einen unkomplizierten Angriff
• Erforderliche Privilegien (PR): Keine
• Benutzerinteraktion (UI): Erforderlich – Tastendruck zur Aktivierung des OTA-Modus
• Vertraulichkeit/Integrität/Verfügbarkeit: Hoch – Vollständige Gerätekompromittierung

Der offizielle CVSS-Score wird von der NVD nach deren Analyse veröffentlicht.

---

Betroffene Produkte

Anbieter: Netun Solutions S.L.
Produkt: HelpFlash IoT
Produktseite: https://netun.com/en/products/help-flash-iot
Versionen: v18_178_221102_ASCII_PRO_1R5_50 und früher
Komponente: OTA-Firmware-Update-System (ESP-IDF v4.3.2)

Gerätekontext:
HelpFlash IoT ist ein sicherheitskritisches Notfall-Straßenwarnsignal, das von der spanischen Verkehrsbehörde (DGT) als Ersatz für traditionelle Warndreiecke in Fahrzeugen vorgeschrieben ist.

---

Schwachstellendetails

Der OTA-Update-Mechanismus des Geräts weist mehrere Sicherheitsprobleme auf:

1. Hardcodierte WLAN-Anmeldedaten (CWE-798)

   • Anmeldedaten sind auf allen Geräten identisch
   • SSID: HF-UpdateAP-5JvqFV
   • Passwort: HF-UpdateAP-5JvqFV

2. Nicht authentifizierter Update-Server (CWE-494)

   • Keine Server-Authentifizierung
   • Keine Firmware-Signaturprüfung
   • Nur HTTP (kein HTTPS)

3. Klartext-Übertragung (CWE-319)

   • Firmware wird über unverschlüsseltes HTTP übertragen
   • Anfällig für MITM-Angriffe

4. Keine OTA-Aktivierungsauthentifizierung

   • 8-Sekunden-Tastendruck aktiviert den OTA-Modus
   • Keine PIN oder zusätzliche Authentifizierung erforderlich

---

Auswirkungen

Ein Angreifer mit kurzem physischem Zugriff kann:

• Böswilligen WLAN-Zugangspunkt mit bekannten Anmeldedaten erstellen
• Schädliche Firmware über HTTP bereitstellen
• Beliebigen Code ausführen
• Sicherheitskritisches Notfallgerät kompromittieren

Angriffsskalierbarkeit: Identische Anmeldedaten auf allen Geräten ermöglichen eine Massenausnutzung.

---

Proof of Concept

Vollständiger Proof of Concept entwickelt und an mehreren Geräten validiert. Angriff erfolgreich demonstriert:

• Verbindung mit bösartigem WLAN-Zugangspunkt
• Herunterladen und Installieren von Firmware
• Ausführung von beliebigem Code

PoC-Code steht dem Anbieter und Sicherheitsforschern unter geeigneten Vereinbarungen zur Verfügung.

---

Abhilfe

Der Anbieter sollte implementieren:

• Einzigartige WLAN-Anmeldedaten pro Gerät
• HTTPS mit Zertifikats-Pinning
• Digitale Signaturen für Firmware
• Benutzerauthentifizierung für den OTA-Modus

---

Zeitplan

• 3. November 2025: Schwachstelle entdeckt und an INCIBE-CERT gemeldet
• 11. November 2025: INCIBE-CERT lehnte CVE-Vergabe ab, genehmigte öffentliche Offenlegung
• 14. November 2025: Eingereicht beim MITRE CVE-Programm
• 16. Dezember 2025: CVE-2025-65855 von MITRE vergeben
• Dezember 2025: Öffentliche Offenlegung

Der Anbieter wurde über den koordinierten Offenlegungsprozess von INCIBE-CERT benachrichtigt. INCIBE-CERT bestätigte, dass keine Veröffentlichungsbeschränkungen gelten, und genehmigte die öffentliche Offenlegung.

---

Credits

Entdeckt von: Luis Miranda Acebedo
Kontakt: [email protected]

---

Referenzen

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-65855
• CWE-494: https://cwe.mitre.org/data/definitions/494.html
• CWE-319: https://cwe.mitre.org/data/definitions/319.html
• CWE-798: https://cwe.mitre.org/data/definitions/798.html