CVE-2025-68930

🔍 Analyse du CVE-2025-68930 : Vulnérabilité de Détournement de WebSockets dans Traccar

Le CVE-2025-68930 expose une vulnérabilité critique de Cross-Site WebSocket Hijacking (CSWSH) dans Traccar, le système de suivi GPS open source. Voici les détails clés :

---

🛡️ Détails de la vulnérabilité

• Endpoint affecté : /api/socket.
• Cause racine : Absence de validation de l'en-tête Origin pendant la poignée de main WebSocket.
• Mécanisme d'exploitation :
  1. Un attaquant incite un utilisateur authentifié à visiter un site malveillant.
  2. Le site malveillant établit une connexion WebSocket avec le serveur Traccar en utilisant la session active de l'utilisateur (JSESSIONID).
  3. Le serveur accepte la connexion et transmet des données en temps réel à l'attaquant.

---

📊 Impact et risques Cette vulnérabilité permet un accès non autorisé à des données sensibles :

• Suivi en temps réel : Coordonnées exactes (latitude/longitude) de tous les actifs.
• Métadonnées exposées : IDs des appareils, protocoles et niveaux de batterie.
• Gravité : Élevée (7.1 selon GitHub / 6.5 selon NIST).

---

🛠️ Versions affectées et solutions

• Versions vulnérables : Toutes jusqu'à 6.11.1 (incluse).
• Atténuation immédiate :
  • Implémenter une validation stricte du Origin via une dans la configuration du serveur .