CVE-2025-41734

RCE przez nieuwierzytelnione wykonanie plików PHP w Metz-Connect EWIO2

CVSS 9.8v3.1pub. 2025-11-18upd. 2025-11-21

Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych plików PHP na urządzeniach z serii Metz-Connect EWIO2. Skutkuje to uzyskaniem pełnego dostępu do urządzenia bez jakiejkolwiek autoryzacji.

▸ Pokaż oryginał (EN)

An unauthenticated remote attacker can execute arbitrary php files and gain full access of the affected devices.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-98 (PHP Remote File Inclusion) pozwala atakującemu na wymuszenie wykonania dowolnego pliku PHP przez podatny komponent aplikacji webowej urządzenia. Atak jest możliwy zdalnie przez sieć, nie wymaga żadnych uprawnień ani interakcji użytkownika. Poprawna ścieżka do pliku PHP może zostać podstawiona lub wskazana przez atakującego w sposób akceptowany przez aplikację bez weryfikacji tożsamości żądającego.

Skutki

Atakujący uzyskuje pełny dostęp do zaatakowanego urządzenia, co oznacza możliwość odczytu i modyfikacji konfiguracji, przejęcia kontroli nad funkcjami przemysłowymi urządzenia oraz potencjalnego wykorzystania go jako punktu wejścia do sieci OT/IT.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://certvde.com/de/advisories/VDE-2025-097). Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu sieciowego do interfejsu webowego urządzeń wyłącznie do zaufanych hostów oraz izolację urządzeń od publicznej sieci internetowej.