CVE-2025-65855

HelpFlash IoT Aggiornamento OTA Molteplici Vulnerabilità

---

Riepilogo

Molteplici vulnerabilità nel meccanismo di aggiornamento del firmware OTA del dispositivo HelpFlash IoT di Netun Solutions consentono a un attaccante con breve accesso fisico di eseguire codice arbitrario.

CVE ID: CVE-2025-65855
Gravità: ALTA
Punteggio CVSS v3.1: 7.6 (Valutazione del ricercatore - in attesa analisi NVD)
Vettore CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Ripartizione CVSS

• Vettore d'attacco (AV): Fisico - Breve accesso fisico (~10 secondi)
• Complessità dell'attacco (AC): Bassa - Credenziali hard-coded consentono un attacco semplice
• Privilegi richiesti (PR): Nessuno
• Interazione utente (UI): Richiesta - Pressione del pulsante per attivare la modalità OTA
• Riservatezza/Integrità/Disponibilità: Alta - Compromissione completa del dispositivo

Il punteggio CVSS ufficiale sarà pubblicato da NVD dopo la loro analisi.

---

Prodotti interessati

Vendor: Netun Solutions S.L.
Prodotto: HelpFlash IoT
Pagina del prodotto: https://netun.com/en/products/help-flash-iot
Versioni: v18_178_221102_ASCII_PRO_1R5_50 e precedenti
Componente: Sistema di aggiornamento firmware OTA (ESP-IDF v4.3.2)

Contesto del dispositivo:
HelpFlash IoT è un dispositivo di segnalazione stradale di emergenza critico per la sicurezza, obbligatorio dall'autorità spagnola del traffico (DGT) come sostituto dei tradizionali triangoli di emergenza nei veicoli.

---

Dettagli della vulnerabilità

Il meccanismo di aggiornamento OTA del dispositivo presenta molteplici problemi di sicurezza:

1. Credenziali WiFi hard-coded (CWE-798)

   • Credenziali identiche su tutti i dispositivi
   • SSID: HF-UpdateAP-5JvqFV
   • Password: HF-UpdateAP-5JvqFV

2. Server di aggiornamento non autenticato (CWE-494)

   • Nessuna autenticazione del server
   • Nessuna verifica della firma del firmware
   • Solo HTTP (nessun HTTPS)

3. Trasmissione in chiaro (CWE-319)

   • Firmware trasmesso su HTTP non crittografato
   • Vulnerabile ad attacchi MITM

4. Nessuna autenticazione per attivazione OTA

   • Pressione del pulsante per 8 secondi attiva la modalità OTA
   • Nessun PIN o autenticazione aggiuntiva richiesta

---

Impatto

Un attaccante con breve accesso fisico può:

• Creare un AP WiFi malevolo utilizzando le credenziali note
• Servire firmware malevolo tramite HTTP
• Ottenere esecuzione di codice arbitrario
• Compromettere un dispositivo di emergenza critico per la sicurezza

Scalabilità dell'attacco: Le credenziali identiche su tutti i dispositivi consentono lo sfruttamento di massa.

---

Prova di concetto

Prova di concerto completa sviluppata e validata su più dispositivi. Attacco dimostrato con successo:

• Connessione ad AP WiFi malevolo
• Download e installazione del firmware
• Esecuzione di codice arbitrario

Codice PoC disponibile per il vendor e i ricercatori di sicurezza secondo opportuni accordi.

---

Mitigazione

Il vendor dovrebbe implementare:

• Credenziali WiFi uniche per dispositivo
• HTTPS con certificate pinning
• Firme digitali del firmware
• Autenticazione utente per la modalità OTA

---

Cronologia

• 3 novembre 2025: Vulnerabilità scoperta e segnalata a INCIBE-CERT
• 11 novembre 2025: INCIBE-CERT ha rifiutato l'assegnazione CVE, autorizzata la divulgazione pubblica
• 14 novembre 2025: Inviato al MITRE CVE Program
• 16 dicembre 2025: CVE-2025-65855 assegnato da MITRE
• Dicembre 2025: Divulgazione pubblica

Il vendor è stato informato tramite il processo di divulgazione coordinata di INCIBE-CERT. INCIBE-CERT ha confermato che non ci sono restrizioni sulla pubblicazione e ha autorizzato la divulgazione pubblica.

---

Crediti

Scoperto da: Luis Miranda Acebedo
Contatto: [email protected]

---

Riferimenti

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-65855
• CWE-494: https://cwe.mitre.org/data/definitions/494.html
• CWE-319: https://cwe.mitre.org/data/definitions/319.html
• CWE-798: https://cwe.mitre.org/data/definitions/798.html