CVE-2025-34171: CasaOS における認証不要のファイルおよびデバッグデータ露出

脆弱性概要

---

概要

CasaOS 0.4.15 以前のバージョンには、認証を必要としない複数の API エンドポイントが存在し、機密性の高い設定ファイル、詳細なシステムデバッグ情報、保存された URL、および CasaOS にユーザーがインストールしたアプリを公開します。この脆弱性はネットワーク経由で認証なしに悪用可能であり、アプリケーションメタデータ、ホスト OS の詳細、ファイル存在情報の開示を可能にします。この露出により偵察が大幅に容易になり、影響を受けるシステム上に展開されたサービスに対する標的型の追撃攻撃が可能になる可能性があります。

---

セキュリティへの影響

• 情報漏えい - 認証を受けていない攻撃者は、保存された URL やインストール済みサービス、CasaOS 設定データなどの機密性の高いアプリケーション設定ファイルや内部メタデータをリモートから取得できます。
• システム情報の露出 – この脆弱性により、公開されたデバッグエンドポイントを介して、オペレーティングシステム、カーネルバージョン、ハードウェア特性、ストレージ構成などの詳細なホスト情報が開示されます。
• 偵察とターゲットプロファイリング – エラーメッセージの違いによりファイルの存在を列挙できるため、攻撃者が基盤となるファイルシステムをマッピングし、追撃攻撃の価値が高いターゲットを特定する能力が大幅に向上します。

---

技術的詳細

影響を受けるバージョン

• 脆弱なバージョン: CasaOS ≤ 0.4.15 のすべてのリリース
• 修正済みバージョン: 利用可能なパッチなし

攻撃ベクトル

CasaOS は認証なしでアクセスできる複数の HTTP API エンドポイントを公開しています。 /v1/users/image エンドポイントは、ユーザー画像を参照することを意図したユーザー指定のパスパラメータを処理しますが、入力を想定されたディレクトリスコープに適切に検証または制限しません。その結果、巧妙に細工されたリクエストにより、バックエンドが /var/lib/casaos/1/ 配下のファイルにアクセスし、内部アプリケーション設定データやサービスメタデータの取得が可能になります。

さらに、/v1/sys/debug エンドポイントは公開されており、ホスト OS、カーネルバージョン、ハードウェア特性、ストレージ詳細を含む詳細なシステム診断情報を返します。

両方のエンドポイントは、詳細かつ冗長なエラーレスポンスを返すため、基盤となるファイルシステム上のファイルやディレクトリの存在を推測するために悪用される可能性があります。 この脆弱性は HTTP 経由でリモートから悪用可能であり、認証は不要で、ユーザーの操作にも依存しません。

---

概念実証

POC は脆弱性がパッチ適用されたときに公開されます。

---

即時対応策

1. 公式の緩和策またはパッチが提供されるまで、CasaOS サービスをインターネットに直接公開しないでください。

---

参考情報

• 追加リソース: Vulncheck
• 追加リソース CVE.org

---

クレジット

発見者: Eyodav