CVE-2025-65855

HelpFlash IoT Múltiplas Vulnerabilidades na Atualização OTA

---

Resumo

Múltiplas vulnerabilidades no mecanismo de atualização de firmware OTA do HelpFlash IoT da Netun Solutions permitem que um atacante com acesso físico breve execute código arbitrário.

ID CVE: CVE-2025-65855
Severidade: ALTA
Pontuação CVSS v3.1: 7.6 (Avaliação do pesquisador - aguardando análise do NVD)
Vetor CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Detalhamento CVSS

• Vetor de Ataque (AV): Físico - Acesso físico breve (~10 segundos)
• Complexidade de Ataque (AC): Baixa - Credenciais codificadas permitem um ataque direto
• Privilégios Necessários (PR): Nenhum
• Interação do Usuário (UI): Necessária - Pressionar o botão para ativar o modo OTA
• Confidencialidade/Integridade/Disponibilidade: Alta - Comprometimento total do dispositivo

A pontuação CVSS oficial será publicada pelo NVD após sua análise.

---

Produtos Afetados

Fornecedor: Netun Solutions S.L.
Produto: HelpFlash IoT
Página do Produto: https://netun.com/en/products/help-flash-iot
Versões: v18_178_221102_ASCII_PRO_1R5_50 e anteriores
Componente: sistema de atualização de firmware OTA (ESP-IDF v4.3.2)

Contexto do Dispositivo:
O HelpFlash IoT é um dispositivo de sinalização rodoviária de emergência crítico para a segurança, exigido pela autoridade de trânsito espanhola (DGT) como substituto dos triângulos de advertência tradicionais em veículos.

---

Detalhes da Vulnerabilidade

O mecanismo de atualização OTA do dispositivo contém múltiplos problemas de segurança:

1. Credenciais WiFi Codificadas (CWE-798)

   • Credenciais idênticas em todos os dispositivos
   • SSID: HF-UpdateAP-5JvqFV
   • Senha: HF-UpdateAP-5JvqFV

2. Servidor de Atualização Não Autenticado (CWE-494)

   • Sem autenticação do servidor
   • Sem verificação de assinatura do firmware
   • Apenas HTTP (sem HTTPS)

3. Transmissão em Texto Claro (CWE-319)

   • Firmware transmitido por HTTP não criptografado
   • Vulnerável a ataques MITM

4. Sem Autenticação na Ativação do OTA

   • Uma pressão de 8 segundos no botão ativa o modo OTA
   • Nenhum PIN ou autenticação adicional exigida

---

Impacto

Um atacante com acesso físico breve pode:

• Criar um AP WiFi malicioso usando credenciais conhecidas
• Servir firmware malicioso via HTTP
• Obter execução de código arbitrário
• Comprometer um dispositivo de emergência crítico para a segurança

Escalabilidade do Ataque: Credenciais idênticas em todos os dispositivos permitem exploração em massa.

---

Prova de Conceito

Prova de conceito completa desenvolvida e validada em vários dispositivos. O ataque demonstrou com sucesso:

• Conexão a um AP WiFi malicioso
• Download e instalação de firmware
• Execução de código arbitrário

Código do PoC disponível ao fornecedor e a pesquisadores de segurança mediante acordos apropriados.

---

Mitigação

O fornecedor deve implementar:

• Credenciais WiFi exclusivas por dispositivo
• HTTPS com fixação de certificado (certificate pinning)
• Assinaturas digitais do firmware
• Autenticação do usuário para o modo OTA

---

Linha do Tempo

• 3 de novembro de 2025: Vulnerabilidade descoberta e reportada ao INCIBE-CERT
• 11 de novembro de 2025: INCIBE-CERT recusou a atribuição do CVE e autorizou a divulgação pública
• 14 de novembro de 2025: Submetido ao Programa CVE da MITRE
• 16 de dezembro de 2025: CVE-2025-65855 atribuído pela MITRE
• Dezembro de 2025: Divulgação pública

O fornecedor foi notificado por meio do processo de divulgação coordenada do INCIBE-CERT. O INCIBE-CERT confirmou que não há restrições de publicação e autorizou a divulgação pública.

---

Créditos

Descoberto por: Luis Miranda Acebedo
Contato: [email protected]

---

Referências

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-65855
• CWE-494: https://cwe.mitre.org/data/definitions/494.html
• CWE-319: https://cwe.mitre.org/data/definitions/319.html
• CWE-798: https://cwe.mitre.org/data/definitions/798.html