---

📋 Panoramica

CVE-2025-13315 è una vulnerabilità critica di controllo degli accessi in Twonky Server 8.5.2 (Linux e Windows) scoperta da Rapid7.

Un attaccante può accedere a endpoint RPC privilegiati tramite un percorso di routing alternativo (/nmc/rpc/) che bypassa i controlli di autenticazione. Ciò consente di estrarre i file di log dell'applicazione contenenti il nome utente dell'amministratore e la password crittografata.

In combinazione con CVE-2025-13316 (chiavi di crittografia Blowfish hardcoded), gli attaccanti possono decifrare le credenziali e ottenere il pieno controllo amministrativo sul server multimediale, inclusi tutti i file multimediali memorizzati.

⚠️ Importante: Il fornitore (Lynx Technology) ha dichiarato che al momento non è disponibile alcuna patch.

---

🛠️ Dettagli della vulnerabilità

Attributo	Dettagli
CVE ID	CVE-2025-13315
Gravità	Critico
Punteggio CVSS v4.0	9.3
Vettore	AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
Prodotto interessato	Twonky Server 8.5.2
Piattaforme	Linux, Windows
Pubblicato	19 novembre 2025
Stato della patch	❌ Non corretta (Nessuna correzione pianificata al momento della divulgazione)

Causa principale

• Le correzioni precedenti proteggevano solo l'endpoint /rpc/.
• Il prefisso /nmc/rpc/ consente ancora l'accesso non autenticato a endpoint sensibili come log_getfile.

---

🔥 Prova di concetto (PoC)

GET /nmc/rpc/log_getfile HTTP/1.1
Host: target.twonkyserver.local

Questa richiesta restituisce log dell'applicazione che contengono righe simili a:

accessuser=admin
accesspwd=<encrypted_password>

La password può quindi essere decifrata utilizzando la chiave Blowfish hardcoded (vedi CVE-2025-13316).

---

🧪 Impatto dello sfruttamento

• ✅ Perdita del nome utente amministratore + password crittografata
• ✅ Decifrare le credenziali (abbinato a CVE-2025-13316)
• ✅ Accesso come amministratore completo
• ✅ Controllo completo su tutti i file multimediali
• ✅ Spegnimento/riconfigurazione remota del server
• ✅ Potenziale esfiltrazione di dati o distribuzione di ransomware

---

🛡️ Mitigazione e raccomandazioni

Poiché non esiste una patch ufficiale, segui questi passaggi urgenti:

1. Isolare il server — Posiziona Twonky Server dietro un proxy inverso o WAF rigoroso.
2. Blocca i percorsi vulnerabili:
   • Blocca /nmc/rpc/log_getfile
   • Blocca tutti gli endpoint /nmc/rpc/ se possibile
3. Usa regole CrowdSec / WAF — Le regole esistono già per vpatch-CVE-2025-13315.
4. Cambia la password amministratore con un valore forte e unico (se accessibile).
5. Considera alternative — Migra a server multimediali DLNA/UPnP moderni (es. Jellyfin, Plex o Emby) che ricevono aggiornamenti di sicurezza regolari.
6. Segmentazione della rete — Non esporre mai Twonky Server direttamente a Internet.

---

📚 Riferimenti

• Avviso ufficiale Rapid7
• Dettaglio NVD
• Avviso GitHub (GHSA-x96r-v3vc-578h)
• Analisi tecnica SiteGuarding

---

📄 Licenza

Questo repository è solo a scopo educativo e difensivo di sicurezza.

---