CVE-2025-0324 — Análise de Causa Raiz

Um cabeçalho Host controlado pelo cliente como backdoor de grupo root no framework de Configuração de Dispositivos VAPIX do AXIS OS.

Resumo

A Axis Communications divulgou a CVE-2025-0324 em 02/06/2025 como uma falha crítica (CVSS 9.4) de escalonamento de privilégios no framework de Configuração de Dispositivos VAPIX® usado em toda a plataforma AXIS OS, creditando o pesquisador de bug bounty Malacupa pela descoberta — mas recusou-se explicitamente a publicar qualquer detalhe técnico: "A Axis não fornecerá informações mais detalhadas sobre a vulnerabilidade."

Mais de catorze meses após um patch estar amplamente disponível, este repositório publica uma reconstrução independente da causa raiz, obtida inteiramente por análise comparativa de firmware (patch-diff) de imagens de firmware Axis distribuídas publicamente, com o resultado confirmado empiricamente em hardware real de propriedade do autor.

O bug, em uma frase: um módulo de autorização Apache distribuído pela Axis (mod_authz_axisgroupfile.so) concede a uma sessão todos os papéis administrativos que define se o cabeçalho HTTP Host: do cliente resolver para a string localhost-acap — e como o dispositivo executa a configuração padrão do Apache UseCanonicalName Off, esse valor é totalmente controlado pelo atacante. Qualquer conta com qualquer credencial válida e não anônima — incluindo o papel de menor privilégio viewer — pode se tornar um administrador completo adicionando um cabeçalho HTTP.

Conteúdo deste repositório

Leia o relatório completo para: a linha do tempo da divulgação, faixas de versões afetadas, a arquitetura de fluxo de requisições do framework de Configuração de Dispositivos VAPIX, a causa raiz em nível de desmontagem com listagens de código antes/depois, as transcrições ao vivo da prova de conceito, uma discussão sobre por que esta pesquisa apoia a avaliação CVSS PR:LOW do NVD em vez da autoavaliação PR:NONE do fornecedor, orientações de detecção para defensores e etapas completas de remediação.

Versões afetadas

Se você administra dispositivos Axis, aplique o patch para as versões acima (ou a próxima build disponível do seu modelo após 02/06/2025) antes de qualquer outra coisa. A ferramenta de verificação em poc/ pode confirmar a exposição do seu dispositivo em modo somente leitura e não destrutivo em menos de um segundo.

Início rápido (verificação segura, somente leitura)

cd poc
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

python3 verify_cve_2025_0324.py \
  --target <device-ip> \
  --username <any-valid-account> \
  --password '<password>'

Isso executa uma verificação de versão de firmware além de um teste comportamental somente leitura e nunca modifica o estado do dispositivo. Consulte poc/README.md para o modo de confirmação opcional, totalmente conclusivo (que altera o estado, com limpeza automática), e para saber exatamente quais requisições HTTP são enviadas.

Por que isto está sendo publicado agora

• A existência da vulnerabilidade, sua gravidade e o identificador CVE são públicos desde 02/06/2025.
• Um patch do fornecedor está amplamente disponível pelo mesmo período — bem mais de um ano no momento da escrita.
• O aviso do fornecedor reteve intencionalmente a causa raiz técnica, e nenhum relato público da causa raiz ou exploit parecia existir antes desta pesquisa.
• Este documento não adiciona nenhuma vulnerabilidade nova nem risco novo a frotas não corrigidas além do que o aviso original já sinaliza; ele existe para ajudar defensores a detectar exploração, ajudar frotas atrasadas a priorizar o patch com pleno entendimento do risco real e documentar uma classe instrutiva e sutil de bug de autorização (confiar em ap_get_server_name() — que reflete o cabeçalho Host do cliente sob a configuração padrão do Apache — para uma decisão de segurança) para a comunidade de pesquisa em geral.

Todos os testes foram realizados exclusivamente contra hardware de propriedade do autor, em uma rede de laboratório isolada, sem sistemas de produção ou dispositivos de terceiros envolvidos em nenhum momento. Consulte §12 ("Ética e Divulgação") do relatório completo e SECURITY.md para mais informações.

Créditos

• Vulnerabilidade descoberta e reportada de forma responsável por Malacupa, via Programa de Bug Bounty do AXIS OS.
• Axis Communications AB — Aviso de Segurança CVE-2025-0324, v1.0, 02/06/2025.
• Registro NVD para CVE-2025-0324.
• Esta análise independente de causa raiz: um pesquisador de segurança independente anônimo.

Licença

• O código em poc/ é licenciado sob a Licença MIT.
• O relatório escrito (report/report.html, report/report.pdf e este README) é licenciado sob Creative Commons Atribuição 4.0 Internacional (CC BY 4.0). Você é livre para compartilhar e adaptar, inclusive comercialmente, desde que forneça a devida atribuição.

Aviso legal

Este repositório é fornecido exclusivamente para pesquisa de segurança defensiva e autoverificação de proprietários de ativos. O autor não é responsável por uso indevido. Não use nenhuma ferramenta deste repositório contra um dispositivo que você não possua ou para o qual não esteja explicitamente autorizado a testar.