CVE-2025-65855

Múltiples vulnerabilidades en la actualización OTA de HelpFlash IoT

---

Resumen

Múltiples vulnerabilidades en el mecanismo de actualización de firmware OTA de Netun Solutions HelpFlash IoT permiten a un atacante con acceso físico breve ejecutar código arbitrario.

ID de CVE: CVE-2025-65855
Gravedad: ALTA
Puntuación CVSS v3.1: 7.6 (Evaluación del investigador - pendiente de análisis del NVD)
Vector CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Desglose CVSS

• Vector de ataque (AV): Físico - Acceso físico breve (~10 segundos)
• Complejidad de ataque (AC): Baja - Las credenciales codificadas permiten un ataque sencillo
• Privilegios requeridos (PR): Ninguno
• Interacción del usuario (UI): Requerida - Pulsación del botón para activar el modo OTA
• Confidencialidad/Integridad/Disponibilidad: Alta - Compromiso total del dispositivo

La puntuación CVSS oficial será publicada por el NVD tras su análisis.

---

Productos afectados

Fabricante: Netun Solutions S.L.
Producto: HelpFlash IoT
Página del producto: https://netun.com/en/products/help-flash-iot
Versiones: v18_178_221102_ASCII_PRO_1R5_50 y anteriores
Componente: Sistema de actualización de firmware OTA (ESP-IDF v4.3.2)

Contexto del dispositivo:
HelpFlash IoT es un dispositivo de señalización vial de emergencia crítico para la seguridad, exigido por la Dirección General de Tráfico (DGT) como sustituto de los triángulos de advertencia tradicionales en los vehículos.

---

Detalles de la vulnerabilidad

El mecanismo de actualización OTA del dispositivo contiene múltiples problemas de seguridad:

1. Credenciales WiFi codificadas (CWE-798)

   • Credenciales idénticas en todos los dispositivos
   • SSID: HF-UpdateAP-5JvqFV
   • Contraseña: HF-UpdateAP-5JvqFV

2. Servidor de actualización no autenticado (CWE-494)

   • Sin autenticación del servidor
   • Sin verificación de la firma del firmware
   • Solo HTTP (sin HTTPS)

3. Transmisión en texto claro (CWE-319)

   • Firmware transmitido mediante HTTP sin cifrar
   • Vulnerable a ataques MITM

4. Sin autenticación para la activación de OTA

   • Una pulsación del botón de 8 segundos activa el modo OTA
   • No se requiere PIN ni autenticación adicional

---

Impacto

Un atacante con acceso físico breve puede:

• Crear un punto de acceso WiFi malicioso utilizando las credenciales conocidas
• Servir firmware malicioso mediante HTTP
• Conseguir ejecución de código arbitrario
• Comprometer un dispositivo de emergencia crítico para la seguridad

Escalabilidad del ataque: Las credenciales idénticas en todos los dispositivos permiten la explotación masiva.

---

Prueba de concepto

Prueba de concepto completa desarrollada y validada en múltiples dispositivos. El ataque se demostró con éxito:

• Conexión a punto de acceso WiFi malicioso
• Descarga e instalación del firmware
• Ejecución de código arbitrario

Código PoC disponible para el fabricante e investigadores de seguridad bajo acuerdos apropiados.

---

Mitigación

El fabricante debería implementar:

• Credenciales WiFi únicas por dispositivo
• HTTPS con fijación de certificados
• Firmas digitales para el firmware
• Autenticación de usuario para el modo OTA

---

Cronología

• 3 de noviembre de 2025: Vulnerabilidad descubierta y notificada a INCIBE-CERT
• 11 de noviembre de 2025: INCIBE-CERT rechazó la asignación del CVE y autorizó la divulgación pública
• 14 de noviembre de 2025: Enviado al programa CVE de MITRE
• 16 de diciembre de 2025: CVE-2025-65855 asignado por MITRE
• Diciembre de 2025: Divulgación pública

El fabricante fue notificado mediante el proceso de divulgación coordinada de INCIBE-CERT. INCIBE-CERT confirmó que no existen restricciones de publicación y autorizó la divulgación pública.

---

Créditos

Descubierto por: Luis Miranda Acebedo
Contacto: [email protected]

---

Referencias

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-65855
• CWE-494: https://cwe.mitre.org/data/definitions/494.html
• CWE-319: https://cwe.mitre.org/data/definitions/319.html
• CWE-798: https://cwe.mitre.org/data/definitions/798.html