CVE-2025-0324 — 근본 원인 분석(Root Cause Analysis)

AXIS OS VAPIX 장치 구성 프레임워크에서 클라이언트가 제어하는 Host 헤더가 루트 그룹 백도어로 악용됨.

TL;DR

Axis Communications는 2025-06-02에 CVE-2025-0324를 AXIS OS 플랫폼 전반에서 사용되는 VAPIX® 장치 구성 프레임워크의 치명적인(CVSS 9.4) 권한 상승 결함으로 공개했으며, 버그 바운티 연구원 Malacupa의 발견을 인정했습니다. 그러나 기술적 세부 사항은 명시적으로 공개를 거부했습니다: "Axis는 취약점에 대한 더 자세한 정보를 제공하지 않을 것입니다."

패치가 일반에 공개된 지 14개월 이상이 지난 지금, 이 저장소는 공개적으로 배포된 Axis 펌웨어 이미지에 대한 비교 펌웨어(패치 차이) 분석을 통해 전적으로 획득한 독립적인 근본 원인 재구성을 게시하며, 그 결과는 저자가 소유한 실제 하드웨어에서 실증적으로 확인되었습니다.

한 문장으로 요약한 버그: Axis가 제공하는 Apache 인증 모듈(mod_authz_axisgroupfile.so)은 클라이언트의 Host: HTTP 헤더가 localhost-acap 문자열로 해석되면 세션에 정의된 모든 관리 역할을 부여합니다. 그리고 장치가 Apache의 기본 설정인 UseCanonicalName Off를 사용하기 때문에 해당 값은 전적으로 공격자가 제어할 수 있습니다. 유효하고 비익명인 자격 증명을 가진 모든 계정 — 가장 낮은 권한의 viewer 역할을 포함 — 은 HTTP 헤더 하나만 추가하면 완전한 관리자가 될 수 있습니다.

이 저장소의 내용

전체 보고서에서 다음을 확인하세요: 공개 타임라인, 영향을 받는 버전 범위, VAPIX 장치 구성 프레임워크의 요청 흐름 아키텍처, 디스어셈블리 수준의 근본 원인과 전후 코드 목록, 실제 PoC 실행 기록, 이 연구가 공급업체의 자체 PR:NONE 자체 평가보다 NVD의 PR:LOW CVSS 평가를 지지하는 이유에 대한 논의, 방어자를 위한 탐지 지침, 그리고 전체 수정 단계.

영향을 받는 버전

Axis 장치를 관리한다면 다른 무엇보다 먼저 위 버전(또는 해당 모델의 2025-06-02 이후 다음 사용 가능한 빌드)으로 패치하세요. poc/의 검증 도구는 읽기 전용, 비파괴 모드로 1초 이내에 장치의 노출 여부를 확인할 수 있습니다.

빠른 시작(안전한 읽기 전용 확인)

cd poc
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

python3 verify_cve_2025_0324.py \
  --target <device-ip> \
  --username <any-valid-account> \
  --password '<password>'

이 작업은 펌웨어 버전 확인과 읽기 전용 동작 테스트를 수행하며 장치 상태를 절대 변경하지 않습니다. 옵트인 방식의 완전히 결정적인(상태 변경, 자동 정리) 확인 모드와 전송되는 정확한 HTTP 요청에 대해서는 poc/README.md를 참조하세요.

지금 공개하는 이유

• 취약점의 존재, 심각도, CVE 식별자는 2025-06-02부터 공개되었습니다.
• 공급업체 패치는 같은 기간 동안 일반에 공개되었으며, 작성 시점 기준 1년이 훨씬 넘었습니다.
• 공급업체의 권고는 의도적으로 기술적 근본 원인을 숨겼으며, 이 연구 이전에는 공개된 근본 원인 분석 자료나 익스플로잇이 존재하지 않았습니다.
• 이 문서는 새로운 취약점이나 원래 권고가 이미 알린 것 이상의 패치되지 않은 장치에 대한 새로운 위험을 추가하지 않습니다. 이는 방어자가 악용 탐지를 돕고, 지연된 장치 그룹이 실제 위험을 완전히 이해한 상태에서 패치 우선순위를 정하도록 돕고, 더 넓은 연구 커뮤니티를 위해 교훈적이고 미묘한 인증 버그 클래스(Apache 기본 구성에서 클라이언트의 Host 헤더를 반영하는 ap_get_server_name()을 보안 결정에 신뢰하는 문제)를 문서화하기 위해 존재합니다.

모든 테스트는 저자가 소유한 하드웨어에서만, 격리된 실험실 네트워크에서 수행되었으며, 어떤 시점에도 프로덕션 시스템이나 타사 장치는 관여하지 않았습니다. 자세한 내용은 전체 보고서의 §12("윤리 및 공개")와 SECURITY.md를 참조하세요.

크레딧

• 취약점을 발견하고 AXIS OS 버그 바운티 프로그램을 통해 책임감 있게 보고한 Malacupa.
• Axis Communications AB — 보안 권고 CVE-2025-0324, v1.0, 2025-06-02.
• CVE-2025-0324의 NVD 기록.
• 이 독립적인 근본 원인 분석: 익명의 독립 보안 연구원.

라이선스

• poc/의 코드는 MIT 라이선스에 따라 라이선스가 부여됩니다.
• 작성된 보고서(report/report.html, report/report.pdf, 이 README)는 크리에이티브 커먼즈 저작자표시 4.0 국제(CC BY 4.0)에 따라 라이선스가 부여됩니다. 적절한 저작자 표시를 제공한다면 상업적 목적을 포함하여 공유 및 수정할 수 있습니다.

면책 조항

이 저장소는 방어적 보안 연구 및 자산 소유자의 자체 검증 목적으로만 제공됩니다. 저자는 오용에 대해 책임을 지지 않습니다. 소유하지 않았거나 명시적으로 테스트 권한을 부여받지 않은 장치에 이 저장소의 어떤 도구도 사용하지 마십시오.