CVE-2025-34171: Exposição Não Autenticada de Arquivos e Dados de Depuração no CasaOS

Visão Geral da Vulnerabilidade

---

Resumo Executivo

As versões do CasaOS até e incluindo a 0.4.15 contêm vários endpoints de API não autenticados que expõem arquivos de configuração sensíveis, informações detalhadas de depuração do sistema, URLs armazenadas e permitem ver o que o usuário instalou no CasaOS. A vulnerabilidade pode ser explorada pela rede sem autenticação, permitindo a divulgação de metadados da aplicação, detalhes do sistema operacional host e informações de existência de arquivos. Essa exposição facilita significativamente o reconhecimento e pode possibilitar ataques direcionados subsequentes contra serviços implantados em sistemas afetados.

---

Impacto na Segurança

• Divulgação de Informações – Atacantes não autenticados podem recuperar remotamente arquivos de configuração sensíveis da aplicação e metadados internos, incluindo URLs armazenadas ou serviços instalados e dados de configuração do CasaOS.
• Exposição de Informações do Sistema – A vulnerabilidade permite a divulgação de informações detalhadas do host, como sistema operacional, versão do kernel, características de hardware e layout de armazenamento, por meio de endpoints de depuração expostos.
• Reconhecimento e Perfilamento de Alvos – Mensagens de erro distintas permitem a enumeração da existência de arquivos, melhorando significativamente a capacidade de um invasor de mapear o sistema de arquivos subjacente e identificar alvos de alto valor para ataques subsequentes.

---

Detalhes Técnicos

Versões Afetadas

• Versões Vulneráveis: Todas as versões do CasaOS ≤ 0.4.15
• Versão Corrigida: Nenhum patch disponível

Vetor de Ataque

O CasaOS expõe vários endpoints de API HTTP que são acessíveis sem autenticação. O endpoint /v1/users/image processa um parâmetro de caminho fornecido pelo usuário destinado a referenciar imagens de usuário, mas não valida ou restringe adequadamente a entrada ao escopo de diretório esperado. Como resultado, solicitações maliciosas podem fazer com que o backend acesse arquivos localizados em /var/lib/casaos/1/, permitindo a recuperação de dados de configuração interna da aplicação e metadados de serviço.

Além disso, o endpoint /v1/sys/debug é acessível publicamente e retorna informações detalhadas de diagnóstico do sistema, incluindo sistema operacional host, versão do kernel, características de hardware e detalhes de armazenamento.

Ambos os endpoints fornecem respostas de erro distintas e detalhadas, que podem ser aproveitadas para inferir a existência de arquivos e diretórios no sistema de arquivos subjacente. A vulnerabilidade é explorável remotamente por HTTP, não requer autenticação e não depende de interação do usuário.

---

Prova de Conceito

A POC estará disponível quando a vulnerabilidade for corrigida

Ações Imediatas

1. Evite expor os serviços do CasaOS diretamente à internet até que uma mitigação ou patch oficial seja fornecido.

---

Referências

• Recursos Adicionais: Vulncheck
• Recursos Adicionais CVE.org

---

Créditos

Descoberto por: Eyodav