CVE-2025-0324 — Análisis de Causa Raíz

Una cabecera Host controlada por el cliente como puerta trasera de grupo root en el framework de Configuración de Dispositivos VAPIX de AXIS OS.

Resumen

Axis Communications reveló CVE-2025-0324 el 2025-06-02 como una falla crítica (CVSS 9.4) de escalada de privilegios en el framework de Configuración de Dispositivos VAPIX® utilizado en toda la plataforma AXIS OS, acreditando al investigador de bug bounty Malacupa por el hallazgo — pero se negó explícitamente a publicar ningún detalle técnico: "Axis no proporcionará información más detallada sobre la vulnerabilidad."

Más de catorce meses después de que un parche estuviera disponible de forma general, este repositorio publica una reconstrucción independiente de la causa raíz, obtenida enteramente mediante análisis comparativo de firmware (parche-diff) de imágenes de firmware de Axis distribuidas públicamente, con el hallazgo confirmado empíricamente en hardware real propiedad del autor.

El bug, en una frase: un módulo de autorización de Apache distribuido por Axis (mod_authz_axisgroupfile.so) otorga a una sesión todos los roles administrativos que define si la cabecera HTTP Host: del cliente se resuelve a la cadena localhost-acap — y debido a que el dispositivo ejecuta la configuración predeterminada de Apache UseCanonicalName Off, ese valor está completamente controlado por el atacante. Cualquier cuenta con cualquier credencial válida y no anónima — incluido el rol viewer de menor privilegio — puede convertirse en administrador completo añadiendo una cabecera HTTP.

Contenido de este repositorio

Lea el informe completo para: la cronología de divulgación, los rangos de versiones afectadas, la arquitectura de flujo de solicitudes del framework de Configuración de Dispositivos VAPIX, la causa raíz a nivel de desensamblado con listados de código antes/después, las transcripciones en vivo de la prueba de concepto, una discusión sobre por qué esta investigación respalda la evaluación CVSS PR:LOW del NVD frente a la autoevaluación PR:NONE del proveedor, orientación de detección para defensores y pasos completos de remediación.

Versiones afectadas

Si administra dispositivos Axis, aplique el parche a las versiones anteriores (o la siguiente compilación disponible de su modelo después del 2025-06-02) antes de hacer cualquier otra cosa. La herramienta de verificación en poc/ puede confirmar la exposición de su dispositivo en modo de solo lectura y no destructivo en menos de un segundo.

Inicio rápido (verificación segura, solo lectura)

cd poc
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

python3 verify_cve_2025_0324.py \
  --target <device-ip> \
  --username <any-valid-account> \
  --password '<password>'

Esto realiza una verificación de versión de firmware más una prueba de comportamiento de solo lectura y nunca modifica el estado del dispositivo. Consulte poc/README.md para el modo de confirmación opcional, totalmente concluyente (que cambia el estado y se autolimpia), y para saber exactamente qué solicitudes HTTP se envían.

Por qué se publica esto ahora

• La existencia de la vulnerabilidad, su gravedad y el identificador CVE son públicos desde el 2025-06-02.
• Un parche del proveedor ha estado disponible de forma general durante el mismo período — más de un año al momento de redactar este documento.
• El aviso del proveedor retuvo intencionalmente la causa raíz técnica, y no parecía existir ningún análisis público de la causa raíz ni exploit antes de esta investigación.
• Este documento no añade ninguna vulnerabilidad nueva ni riesgo nuevo a las flotas sin parchear más allá de lo que el aviso original ya señala; existe para ayudar a los defensores a detectar la explotación, ayudar a las flotas rezagadas a priorizar el parcheo con plena comprensión del riesgo real, y documentar una clase instructiva y sutil de bug de autorización (confiar en ap_get_server_name() — que refleja la cabecera Host del cliente bajo la configuración predeterminada de Apache — para una decisión de seguridad) para la comunidad investigadora en general.

Todas las pruebas se realizaron exclusivamente contra hardware propiedad del autor, en una red de laboratorio aislada, sin sistemas de producción ni dispositivos de terceros involucrados en ningún momento. Consulte la §12 ("Ética y Divulgación") del informe completo y SECURITY.md para más información.

Créditos

• Vulnerabilidad descubierta e informada de forma responsable por Malacupa, a través del Programa de Bug Bounty de AXIS OS.
• Axis Communications AB — Aviso de Seguridad CVE-2025-0324, v1.0, 2025-06-02.
• Registro NVD para CVE-2025-0324.
• Este análisis independiente de causa raíz: un investigador de seguridad independiente y anónimo.

Licencia

• El código en poc/ está licenciado bajo la Licencia MIT.
• El informe escrito (report/report.html, report/report.pdf y este README) está licenciado bajo Creative Commons Attribution 4.0 International (CC BY 4.0). Es libre de compartirlo y adaptarlo, incluso con fines comerciales, siempre que proporcione el crédito apropiado.

Aviso legal

Este repositorio se proporciona únicamente con fines de investigación de seguridad defensiva y autoverificación por parte de los propietarios de activos. El autor no es responsable del uso indebido. No utilice ninguna herramienta de este repositorio contra un dispositivo que no posea o para el que no esté explícitamente autorizado a probar.