eyodav/cve-2025-34171CasaOS stellt mehrere nicht authentifizierte API-Endpunkte bereit, die eine Remote-Offenlegung sensibler Konfigurationsdateien und System-Debug-Informationen ermöglichen.
| Feld | Wert |
|---|---|
| CVE-ID | CVE-2025-34171 |
| Betrifft | CasaOS ≤ 0.4.15 |
| Behoben in | Kein Patch verfügbar |
| Schweregrad | Mittel |
| CVSS 4.0 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
| CWE | CWE-862: Fehlende Autorisierung, CWE-497: Offenlegung sensibler Systeminformationen an eine nicht autorisierte Kontrollsphäre |
CasaOS-Versionen bis einschließlich 0.4.15 enthalten mehrere nicht authentifizierte API-Endpunkte, die vertrauliche Konfigurationsdateien, detaillierte System-Debug-Informationen und gespeicherte URLs offenlegen und anzeigen, was der Benutzer in CasaOS installiert hat. Die Schwachstelle kann über das Netzwerk ohne Authentifizierung ausgenutzt werden und ermöglicht die Offenlegung von Anwendungsmetadaten, Details zum Host-Betriebssystem und Informationen über die Existenz von Dateien. Diese Offenlegung erleichtert die Aufklärung erheblich und kann gezielte Folgeangriffe auf Dienste ermöglichen, die auf betroffenen Systemen bereitgestellt werden.
CasaOS setzt mehrere HTTP-API-Endpunkte bereit, die ohne Authentifizierung zugänglich sind. Der Endpunkt /v1/users/image verarbeitet einen vom Benutzer bereitgestellten Pfadparameter, der auf Benutzerbilder verweisen soll, validiert oder beschränkt die Eingabe jedoch nicht ordnungsgemäß auf den erwarteten Verzeichnisbereich. Dadurch können manipulierte Anfragen das Backend veranlassen, auf Dateien unter /var/lib/casaos/1/ zuzugreifen, was den Abruf interner Anwendungskonfigurationsdaten und Dienstmetadaten ermöglicht.
Darüber hinaus ist der Endpunkt /v1/sys/debug öffentlich zugänglich und liefert detaillierte Systemdiagnoseinformationen, einschließlich Host-Betriebssystem, Kernel-Version, Hardware-Eigenschaften und Speicherdetails.
Beide Endpunkte liefern unterschiedliche und ausführliche Fehlermeldungen, die dazu genutzt werden können, auf die Existenz von Dateien und Verzeichnissen im zugrunde liegenden Dateisystem zu schließen. Die Schwachstelle ist remote über HTTP ausnutzbar, erfordert keine Authentifizierung und hängt nicht von Benutzerinteraktion ab.
Entdeckt von: Eyodav
