PT-2025-51840 · Netun Solutions · Helpflash Iot

Luis Miranda Acebedo · Publicado 2025-12-17 · Atualizado 2026-01-06 · CVE-2025-65855

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Netun Solutions HelpFlash IoT versão v18 178 221102 ASCII PRO 1R5 50

Descrição O processo de atualização de firmware over-the-air (OTA) no software não autentica corretamente os servidores de atualização nem valida as assinaturas de firmware, e depende de credenciais WiFi embutidas (hard-coded) que são consistentes em todos os dispositivos. Um atacante com acesso físico temporário pode iniciar o modo de atualização OTA pressionando um botão por oito segundos. Isso permite ao atacante estabelecer um ponto de acesso WiFi malicioso usando as credenciais conhecidas e entregar firmware nocivo através de HTTP não autenticado, potencialmente levando à execução arbitrária de código no dispositivo. O dispositivo é um equipamento de sinalização de emergência crítico para a segurança.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Using Hardcoded Credentials

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-494

CWE-798

CWE-319

Identificadores relacionados

CVE-2025-65855

Produtos afetados

Helpflash Iot

Referências · 7

• https://docs.espressif.com/projects/esp-idf/en/v4.3.2 · Nota
• https://luismirandaacebedo.github.io/CVE-2025-65855 · Nota
• https://t.me/cveNotify/147838 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2001350847058579927 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-65855 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2001362736261865474 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-65855 · Nota de Segurança