CVE-2025-0324 — मूल कारण विश्लेषण

AXIS OS VAPIX डिवाइस कॉन्फ़िगरेशन फ्रेमवर्क में रूट-ग्रुप बैकडोर के रूप में क्लाइंट-नियंत्रित Host हेडर।

TL;DR

Axis Communications ने 2025-06-02 को CVE-2025-0324 को AXIS OS प्लेटफ़ॉर्म पर उपयोग किए जाने वाले VAPIX® डिवाइस कॉन्फ़िगरेशन फ्रेमवर्क में एक गंभीर (CVSS 9.4) विशेषाधिकार-वृद्धि दोष के रूप में खुलासा किया, जिसमें बग-बाउंटी शोधकर्ता Malacupa को इस खोज का श्रेय दिया गया — लेकिन स्पष्ट रूप से कोई तकनीकी विवरण प्रकाशित करने से इनकार कर दिया: "Axis भेद्यता के बारे में अधिक विस्तृत जानकारी प्रदान नहीं करेगा।"

पैच सार्वजनिक रूप से उपलब्ध होने के चौदह महीने से अधिक समय बाद, यह रिपॉजिटरी एक स्वतंत्र मूल-कारण पुनर्निर्माण प्रकाशित करता है, जो पूरी तरह से सार्वजनिक रूप से वितरित Axis फर्मवेयर छवियों के तुलनात्मक फर्मवेयर (पैच-डिफ) विश्लेषण के माध्यम से प्राप्त किया गया है, जिसकी पुष्टि लेखक के स्वामित्व वाले वास्तविक हार्डवेयर पर अनुभवजन्य रूप से की गई है।

बग, एक वाक्य में: Axis द्वारा भेजा गया एक Apache प्राधिकरण मॉड्यूल (mod_authz_axisgroupfile.so) एक सत्र को हर प्रशासनिक भूमिका प्रदान करता है जिसे वह परिभाषित करता है यदि क्लाइंट का Host: HTTP हेडर स्ट्रिंग localhost-acap पर हल होता है — और क्योंकि डिवाइस Apache के डिफ़ॉल्ट UseCanonicalName Off पर चलता है, वह मान पूरी तरह से हमलावर-नियंत्रित होता है। किसी भी वैध, गैर-अनाम क्रेडेंशियल वाला कोई भी खाता — जिसमें सबसे कम-विशेषाधिकार वाली viewer भूमिका भी शामिल है — एक HTTP हेडर जोड़कर पूर्ण व्यवस्थापक बन सकता है।

इस रिपॉजिटरी की सामग्री

पूरी रिपोर्ट पढ़ें: प्रकटीकरण समयरेखा, प्रभावित संस्करण श्रेणियाँ, VAPIX डिवाइस कॉन्फ़िगरेशन फ्रेमवर्क का अनुरोध-प्रवाह आर्किटेक्चर, पहले/बाद के कोड लिस्टिंग के साथ डिसअसेंबली-स्तर का मूल कारण, लाइव प्रूफ-ऑफ-कॉन्सेप्ट ट्रांसक्रिप्ट, इस बात की चर्चा कि यह शोध विक्रेता के स्वयं के PR:NONE सेल्फ-स्कोर के बजाय NVD के PR:LOW CVSS मूल्यांकन का समर्थन क्यों करता है, रक्षकों के लिए पहचान मार्गदर्शन, और पूर्ण उपचार चरण।

प्रभावित संस्करण

यदि आप Axis डिवाइस प्रशासित करते हैं, तो कुछ और करने से पहले उपरोक्त संस्करणों (या 2025-06-02 के बाद आपके मॉडल का अगला उपलब्ध बिल्ड) पर पैच करें। poc/ में सत्यापन उपकरण एक सेकंड से भी कम समय में केवल-पठनीय, गैर-विनाशकारी मोड में आपके डिवाइस के जोखिम की पुष्टि कर सकता है।

त्वरित प्रारंभ (सुरक्षित, केवल-पठनीय जांच)

cd poc
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

python3 verify_cve_2025_0324.py \
  --target <device-ip> \
  --username <any-valid-account> \
  --password '<password>'

यह फर्मवेयर-संस्करण जांच के साथ-साथ एक केवल-पठनीय व्यवहारिक परीक्षण करता है और डिवाइस की स्थिति को कभी संशोधित नहीं करता है। ऑप्ट-इन, पूरी तरह से निर्णायक (स्थिति-बदलने वाला, स्वचालित-सफाई) पुष्टिकरण मोड के लिए और वास्तव में कौन से HTTP अनुरोध भेजे जाते हैं, इसके लिए poc/README.md देखें।

यह अब क्यों प्रकाशित किया जा रहा है

• भेद्यता का अस्तित्व, गंभीरता और CVE पहचानकर्ता 2025-06-02 से सार्वजनिक हैं।
• विक्रेता का पैच उसी अवधि से सामान्य रूप से उपलब्ध है — लेखन के समय एक वर्ष से अधिक।
• विक्रेता की सलाह ने जानबूझकर तकनीकी मूल कारण को रोक दिया, और इस शोध से पहले कोई सार्वजनिक मूल-कारण राइटअप या शोषण मौजूद नहीं दिखता था।
• यह दस्तावेज़ कोई नई भेद्यता या अनपैच्ड फ्लीट्स के लिए कोई नया जोखिम नहीं जोड़ता है जो मूल सलाह पहले से संकेत नहीं देती; यह रक्षकों को शोषण का पता लगाने में मदद करने, पिछड़े फ्लीट्स को वास्तविक जोखिम की पूरी समझ के साथ पैचिंग को प्राथमिकता देने में मदद करने, और व्यापक शोध समुदाय के लिए एक शिक्षाप्रद, सूक्ष्म प्रकार के प्राधिकरण बग (सुरक्षा निर्णय के लिए ap_get_server_name() पर भरोसा करना — जो Apache की डिफ़ॉल्ट कॉन्फ़िगरेशन के तहत क्लाइंट के Host हेडर को दर्शाता है) का दस्तावेजीकरण करने के लिए मौजूद है।

सभी परीक्षण विशेष रूप से लेखक के स्वामित्व वाले हार्डवेयर के खिलाफ, एक पृथक प्रयोगशाला नेटवर्क पर किए गए थे, जिसमें किसी भी बिंदु पर कोई उत्पादन प्रणाली या तृतीय-पक्ष डिवाइस शामिल नहीं थी। अधिक जानकारी के लिए पूरी रिपोर्ट का §12 ("नैतिकता और प्रकटीकरण") और SECURITY.md देखें।

श्रेय

• भेद्यता की खोज और जिम्मेदार रिपोर्टिंग Malacupa द्वारा, AXIS OS बग बाउंटी प्रोग्राम के माध्यम से।
• Axis Communications AB — सुरक्षा सलाह CVE-2025-0324, v1.0, 2025-06-02।
• CVE-2025-0324 के लिए NVD रिकॉर्ड।
• यह स्वतंत्र मूल-कारण विश्लेषण: एक अनाम स्वतंत्र सुरक्षा शोधकर्ता।

लाइसेंस

• poc/ में कोड MIT लाइसेंस के तहत लाइसेंस प्राप्त है।
• लिखित रिपोर्ट (report/report.html, report/report.pdf, और यह README) क्रिएटिव कॉमन्स एट्रिब्यूशन 4.0 इंटरनेशनल (CC BY 4.0) के तहत लाइसेंस प्राप्त है। आप इसे साझा और अनुकूलित करने के लिए स्वतंत्र हैं, जिसमें व्यावसायिक रूप से भी शामिल है, बशर्ते आप उचित श्रेय दें।

अस्वीकरण

यह रिपॉजिटरी केवल रक्षात्मक सुरक्षा अनुसंधान और संपत्ति-मालिक स्व-सत्यापन उद्देश्यों के लिए प्रदान की गई है। लेखक दुरुपयोग के लिए जिम्मेदार नहीं है। इस रिपॉजिटरी में किसी भी उपकरण का उपयोग ऐसे डिवाइस के खिलाफ न करें जिसके आप मालिक नहीं हैं या जिसे परीक्षण करने के लिए आपको स्पष्ट रूप से अधिकृत नहीं किया गया है।