CVE-2025-34171: Esposizione non autenticata di file e dati di debug in CasaOS

Panoramica della vulnerabilità

---

Riepilogo esecutivo

Le versioni di CasaOS fino alla 0.4.15 inclusa contengono molteplici endpoint API non autenticati che espongono file di configurazione sensibili, informazioni dettagliate di debug del sistema, URL memorizzati e mostrano ciò che l'utente ha installato in CasaOS. La vulnerabilità può essere sfruttata sulla rete senza autenticazione, consentendo la divulgazione di metadati dell'applicazione, dettagli del sistema operativo host e informazioni sull'esistenza di file. Questa esposizione facilita significativamente la ricognizione e può consentire attacchi mirati successivi contro i servizi distribuiti sui sistemi interessati.

---

Impatto sulla sicurezza

• Divulgazione di informazioni - Gli aggressori non autenticati possono recuperare da remoto file di configurazione sensibili dell'applicazione e metadati interni, inclusi URL memorizzati o servizi installati e dati di configurazione di CasaOS.
• Esposizione delle informazioni di sistema – La vulnerabilità consente la divulgazione di informazioni dettagliate sull'host come sistema operativo, versione del kernel, caratteristiche hardware e layout di archiviazione tramite endpoint di debug esposti.
• Ricognizione e profilazione del bersaglio – Messaggi di errore distinti consentono l'enumerazione dell'esistenza di file, migliorando significativamente la capacità di un aggressore di mappare il filesystem sottostante e identificare obiettivi di alto valore per attacchi successivi.

---

Dettagli tecnici

Versioni interessate

• Versioni vulnerabili: Tutte le release di CasaOS ≤ 0.4.15
• Versione corretta: Nessuna patch disponibile

Vettore d'attacco

CasaOS espone molteplici endpoint API HTTP accessibili senza autenticazione. L'endpoint /v1/users/image elabora un parametro di percorso fornito dall'utente destinato a fare riferimento alle immagini utente, ma non riesce a convalidare o limitare correttamente l'input all'ambito di directory previsto. Di conseguenza, richieste appositamente create possono far sì che il backend acceda a file situati sotto /var/lib/casaos/1/, consentendo il recupero di dati di configurazione interna dell'applicazione e metadati di servizio.

Inoltre, l'endpoint /v1/sys/debug è accessibile pubblicamente e restituisce informazioni diagnostiche dettagliate del sistema, inclusi sistema operativo host, versione del kernel, caratteristiche hardware e dettagli di archiviazione.

Entrambi gli endpoint forniscono risposte di errore distinte e verbose, che possono essere sfruttate per dedurre l'esistenza di file e directory sul filesystem sottostante. La vulnerabilità è sfruttabile da remoto tramite HTTP, non richiede autenticazione e non dipende dall'interazione dell'utente.

---

Prova di concetto

La POC sarà disponibile quando la vulnerabilità sarà corretta.

---

Azioni immediate

1. Evitare di esporre i servizi CasaOS direttamente a Internet fino a quando non sarà fornita una mitigazione o una patch ufficiale.

---

Riferimenti

• Risorse aggiuntive: Vulncheck
• Risorse aggiuntive CVE.org

---

Crediti

Scoperto da: Eyodav