CVE-2025-47423 – Personal Weather Station Dashboard (12_lts) におけるローカルファイルインクルージョン

発見者: Matthew Eagle
ステータス: 公開開示
報告日: 2025-05-05
CVE ID: CVE-2025-47423

🧩 概要

Personal Weather Station Dashboard バージョン 12_lts におけるローカルファイルインクルージョン (LFI) 脆弱性により、認証されていないリモート攻撃者がサーバー上の任意のファイルを読み取ることが可能になります。この欠陥を悪用すると、秘密 SSL キーを含む機密ファイルへのアクセスが可能となり、HTTPS 接続の機密性と完全性が損なわれる可能性があります。

🛠 影響を受けるコンポーネント

ファイル: /others/_test.php
脆弱なパラメータ: test (GET 経由)

📈 影響

この欠陥により、リモート攻撃者は以下が可能になります:

ファイルシステム上の任意のファイルを読み取る
秘密 SSL キー (例: server.key) を露出させる
中間者 (MITM) 攻撃を実行する
HTTPS サーバーを偽装する

CVSS: 5.8 中程度

💥 概念実証 (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

レスポンス:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

🧪 脆弱なコード (簡略化)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

str_replace はディレクトリトラバーサルを防ぐには不十分です。

🔐 安全な修正

インクルード対象には厳格な許可リストを使用する
basename() で入力をサニタイズし、許可されたファイルと照合する
ユーザー入力に基づく動的なインクルードを避ける

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

📅 タイムライン

日付	イベント
2025-05-05	脆弱性を PWS Dashboard モデレーターに報告
2025-05-06	確認応答およびテストの実施を確認
2025-05-07	MITRE 経由で CVE-2025-47423 を予約
2025-06-07	公開パッチおよび CVE リスト登録を確認

🧠 緩和策

Personal Weather Station Dashboard 12_lts を運用している場合は、以下を実施してください:

直ちに _test.php を削除または更新する
ファイルのホワイトリストを用いた修正済みスクリプトを実装する
侵害された可能性のある TLS 証明書をローテーションし再発行する

🧾 参考資料

🙏 クレジット

脆弱性は Matthew Eagle によって発見され、責任ある方法で開示されました
連絡先: [email protected]

責任ある開示ガイドラインに従って調整された開示です。この文書は教育および防御目的で公開されています。

CVE-2025-47423

人気