CVE-2025-68930

🔍 CVE-2025-68930 का विश्लेषण: Traccar में WebSockets अपहरण भेद्यता

CVE-2025-68930 Traccar में एक क्रॉस-साइट WebSocket अपहरण (CSWSH) भेद्यता को उजागर करता है, जो ओपन-सोर्स GPS ट्रैकिंग सिस्टम है। नीचे मुख्य विवरण दिए गए हैं:

---

🛡️ भेद्यता विवरण

• प्रभावित एंडपॉइंट: /api/socket।
• मूल कारण: WebSocket हैंडशेक के दौरान Origin हेडर के सत्यापन का अभाव।
• शोषण तंत्र:
  1. हमलावर किसी प्रमाणित उपयोगकर्ता को दुर्भावनापूर्ण साइट पर जाने के लिए धोखा देता है।
  2. दुर्भावनापूर्ण साइट उपयोगकर्ता के सक्रिय सत्र (JSESSIONID) का उपयोग करके Traccar सर्वर के साथ WebSocket कनेक्शन स्थापित करती है।
  3. सर्वर कनेक्शन स्वीकार करता है और हमलावर को रीयल-टाइम डेटा संचारित करता है।

---

📊 प्रभाव और जोखिम यह भेद्यता संवेदनशील डेटा तक अनधिकृत पहुंच की अनुमति देती है:

• रीयल-टाइम ट्रैकिंग: सभी संपत्तियों के सटीक निर्देशांक (अक्षांश/देशांतर)।
• उजागर मेटाडेटा: डिवाइस आईडी, प्रोटोकॉल और बैटरी स्तर।
• गंभीरता: उच्च (GitHub के अनुसार 7.1 / NIST के अनुसार 6.5)।

---

🛠️ प्रभावित संस्करण और समाधान

• कमजोर संस्करण: 6.11.1 तक के सभी संस्करण (सम्मिलित)।
• तत्काल शमन:
  • Jetty सर्वर कॉन्फ़िगरेशन में allowlist के माध्यम से Origin का कठोर सत्यापन लागू करें।