CVE-2025-65855

HelpFlash IoT - Multiples vulnérabilités dans la mise à jour OTA

---

Résumé

De multiples vulnérabilités dans le mécanisme de mise à jour du firmware OTA de Netun Solutions HelpFlash IoT permettent à un attaquant disposant d'un accès physique bref d'exécuter du code arbitraire.

Identifiant CVE : CVE-2025-65855
Sévérité : ÉLEVÉE
Score CVSS v3.1 : 7,6 (Évaluation du chercheur - en attente d'analyse NVD)
Vecteur CVSS : CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Répartition CVSS

• Vecteur d'attaque (AV) : Physique - Accès physique bref (~10 secondes)
• Complexité d'attaque (AC) : Faible - Des identifiants codés en dur permettent une attaque directe
• Privilèges requis (PR) : Aucun
• Interaction utilisateur (UI) : Requise - Appui sur un bouton pour activer le mode OTA
• Confidentialité/Intégrité/Disponibilité : Élevée - Compromission totale de l'appareil

Le score CVSS officiel sera publié par la NVD après son analyse.

---

Produits concernés

Fournisseur : Netun Solutions S.L.
Produit : HelpFlash IoT
Page produit : https://netun.com/en/products/help-flash-iot
Versions : v18_178_221102_ASCII_PRO_1R5_50 et antérieures
Composant : Système de mise à jour du firmware OTA (ESP-IDF v4.3.2)

Contexte de l'appareil :
HelpFlash IoT est un dispositif de signalisation routière d'urgence critique pour la sécurité, imposé par l'autorité espagnole de la circulation (DGT) en remplacement des triangles de signalisation traditionnels dans les véhicules.

---

Détails de la vulnérabilité

Le mécanisme de mise à jour OTA de l'appareil présente plusieurs problèmes de sécurité :

1. Identifiants WiFi codés en dur (CWE-798)

   • Identifiants identiques sur tous les appareils
   • SSID : HF-UpdateAP-5JvqFV
   • Mot de passe : HF-UpdateAP-5JvqFV

2. Serveur de mise à jour non authentifié (CWE-494)

   • Aucune authentification du serveur
   • Aucune vérification de signature du firmware
   • HTTP uniquement (pas de HTTPS)

3. Transmission en clair (CWE-319)

   • Firmware transmis via HTTP non chiffré
   • Vulnérable aux attaques de l'homme du milieu (MITM)

4. Aucune authentification pour l'activation OTA

   • Un appui de 8 secondes sur le bouton active le mode OTA
   • Aucun code PIN ni authentification supplémentaire requis

---

Impact

Un attaquant disposant d'un accès physique bref peut :

• Créer un point d'accès WiFi malveillant à l'aide des identifiants connus
• Diffuser un firmware malveillant via HTTP
• Exécuter du code arbitraire
• Compromettre un dispositif d'urgence critique pour la sécurité

Évolutivité de l'attaque : Des identifiants identiques sur tous les appareils permettent une exploitation à grande échelle.

---

Preuve de concept

Preuve de concept complète développée et validée sur plusieurs appareils. L'attaque a été démontrée avec succès :

• Connexion à un point d'accès WiFi malveillant
• Téléchargement et installation du firmware
• Exécution de code arbitraire

Le code de la PoC est disponible pour le fournisseur et les chercheurs en sécurité dans le cadre d'accords appropriés.

---

Contre-mesures

Le fournisseur devrait mettre en œuvre :

• Des identifiants WiFi uniques par appareil
• HTTPS avec épinglage de certificat
• Signatures numériques du firmware
• Authentification utilisateur pour le mode OTA

---

Chronologie

• 3 novembre 2025 : Vulnérabilité découverte et signalée à l'INCIBE-CERT
• 11 novembre 2025 : L'INCIBE-CERT a refusé l'attribution du CVE et autorisé la divulgation publique
• 14 novembre 2025 : Soumission au programme CVE de MITRE
• 16 décembre 2025 : CVE-2025-65855 attribué par MITRE
• Décembre 2025 : Divulgation publique

Le fournisseur a été notifié via le processus de divulgation coordonnée de l'INCIBE-CERT. L'INCIBE-CERT a confirmé qu'aucune restriction de publication ne s'applique et a autorisé la divulgation publique.

---

Crédits

Découvert par : Luis Miranda Acebedo
Contact : [email protected]

---

Références

• CVE : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-65855
• CWE-494 : https://cwe.mitre.org/data/definitions/494.html
• CWE-319 : https://cwe.mitre.org/data/definitions/319.html
• CWE-798 : https://cwe.mitre.org/data/definitions/798.html