CVE-2025-69203

Signal K Server, bir teknedeki merkezi bir hub üzerinde çalışan bir sunucu uygulamasıdır. Erişim isteği sisteminin 2.19.0 öncesindeki sürümlerinde, kendi başlarına ve bir bilgi ifşası zafiyetiyle birleştirildiklerinde yöneticilere karşı ikna edici sosyal mühendislik saldırılarını mümkün kılan birbiriyle ilişkili iki özellik bulunmaktadır. Bir cihaz erişim isteği oluşturduğunda üç alan belirtir: `clientId`, `description` ve `permissions`. SignalK yönetici arayüzü, bekleyen istekleri gösterirken `description` alanını yöneticiye belirgin bir şekilde sunar ancak gerçek `permissions` alanı (verilen erişim seviyesini belirleyen alan) daha az görünürdür veya ayrı olarak görüntülenir. Bu durum, bir saldırganın salt okunur erişim olduğunu ima eden bir açıklama sağlarken `admin` yetkileri talep etmesine olanak tanır. Erişim isteği işleyicisi, istemcinin IP adresini belirlemek için `X-Forwarded-For` HTTP başlığına herhangi bir doğrulama yapmadan güvenir. Bu başlık, istekler ters proxy'lerden geçerken orijinal istemci IP'sini korumayı amaçlar; ancak koşulsuz olarak güvenildiğinde, saldırganların IP adreslerini taklit etmelerine izin verir. Taklit edilen IP adresi, erişim isteği onaylama arayüzünde yöneticilere görüntülenir ve bu da kötü niyetli isteklerin güvenilir dahili ağ adreslerinden geliyormuş gibi görünmesini sağlayabilir. Cihaz/kaynak isimleri bilgi ifşası zafiyeti aracılığıyla numaralandırılabildiği için, bir saldırgan meşru bir cihazı veya kaynağı taklit edebilir, ikna edici bir açıklama hazırlayabilir, güvenilir bir dahili IP adresini taklit edebilir ve yüksek yetkiler talep ederek yönetici onayının olasılığını artıran oldukça ikna edici bir sosyal mühendislik senaryosu oluşturabilir. Kullanıcıların bu sorunu gidermek için 2.19.0 sürümüne yükseltme yapmaları gerekir.