CVE-2025-47423 – Personal Weather Station Dashboard (12_lts) में लोकल फ़ाइल इन्क्लूज़न

खोजकर्ता: Matthew Eagle
स्थिति: सार्वजनिक प्रकटीकरण
रिपोर्ट की तिथि: 2025-05-05
CVE ID: CVE-2025-47423

---

🧩 सारांश

Personal Weather Station Dashboard संस्करण 12_lts में एक लोकल फ़ाइल इन्क्लूज़न (LFI) कमज़ोरी है जो अनधिकृत रिमोट हमलावरों को सर्वर पर मनमानी फ़ाइलें पढ़ने की अनुमति देती है। इस दोष का शोषण करने से निजी SSL कुंजियों सहित संवेदनशील फ़ाइलों तक पहुँच प्राप्त होती है, जिससे HTTPS कनेक्शनों की गोपनीयता और अखंडता संभावित रूप से प्रभावित हो सकती है।

---

🛠 प्रभावित घटक

• फ़ाइल: /others/_test.php
• कमज़ोर पैरामीटर: test (GET के माध्यम से)

---

📈 प्रभाव

यह दोष रिमोट हमलावरों को निम्नलिखित की अनुमति देता है:

• फ़ाइलसिस्टम पर मनमानी फ़ाइलें पढ़ना
• निजी SSL कुंजियाँ उजागर करना (जैसे, server.key)
• मैन-इन-द-मिडल (MITM) हमले करना
• HTTPS सर्वर का रूप धारण करना

CVSS: 5.8 मध्यम

---

💥 प्रूफ़ ऑफ़ कॉन्सेप्ट (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

प्रतिक्रिया:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

---

🧪 कमज़ोर कोड (सरलीकृत)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

डायरेक्टरी ट्रैवर्सल को रोकने के लिए str_replace अपर्याप्त है।

---

🔐 सुरक्षित समाधान

• इन्क्लूड लक्ष्यों के लिए सख़्त allowlisting का उपयोग करें
• basename() के साथ इनपुट को सैनिटाइज़ करें और अनुमत फ़ाइलों के विरुद्ध जाँचें
• उपयोगकर्ता इनपुट के आधार पर गतिशील इन्क्लूज़न से बचें

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

---

📅 समयरेखा

तिथि	घटना
2025-05-05	PWS Dashboard मॉडरेटरों को कमज़ोरी की रिपोर्ट की गई
2025-05-06	पावती प्राप्त हुई और परीक्षण देखा गया
2025-05-07	MITRE के माध्यम से CVE-2025-47423 आरक्षित किया गया
2025-06-07	सार्वजनिक पैच और CVE लिस्टिंग की पुष्टि हुई

---

🧠 शमन

यदि आप Personal Weather Station Dashboard 12_lts चला रहे हैं, तो आपको चाहिए:

• तुरंत _test.php को हटाएँ या अपडेट करें
• फ़ाइल whitelisting के साथ ठीक किए गए स्क्रिप्ट को लागू करें
• किसी भी समझौता किए गए TLS प्रमाणपत्रों को रोटेट करें और पुनः जारी करें

---

🧾 संदर्भ

• MITRE पर CVE-2025-47423 (लंबित)
• GitHub पर पोस्ट की गई एडवाइज़री

---

🙏 श्रेय

कमज़ोरी की खोज और ज़िम्मेदारीपूर्वक प्रकटीकरण Matthew Eagle द्वारा किया गया
संपर्क: [email protected]

---

प्रकटीकरण ज़िम्मेदार प्रकटीकरण दिशानिर्देशों के अनुरूप समन्वित किया गया। यह दस्तावेज़ शैक्षिक और रक्षात्मक उद्देश्यों के लिए जारी किया गया है।