CVE-2025-0324 — Анализ первопричины

Управляемый клиентом заголовок Host как бэкдор уровня root-группы в фреймворке конфигурации устройств VAPIX AXIS OS.

TL;DR

Axis Communications раскрыла CVE-2025-0324 2025-06-02 как критическую (CVSS 9.4) уязвимость повышения привилегий в фреймворке конфигурации устройств VAPIX®, используемом на платформе AXIS OS, приписав находку исследователю в области bug-bounty Malacupa — но при этом явно отказалась публиковать какие-либо технические детали: "Axis не предоставит более подробную информацию об уязвимости."

Более чем через четырнадцать месяцев после того, как патч стал общедоступен, этот репозиторий публикует независимую реконструкцию первопричины, полученную исключительно путём сравнительного анализа прошивок (patch-diff) публично распространяемых образов прошивок Axis, при этом результат эмпирически подтверждён на реальном оборудовании, принадлежащем автору.

Суть ошибки в одном предложении: модуль авторизации Apache, поставляемый Axis (mod_authz_axisgroupfile.so), предоставляет сессии все определённые им административные роли, если заголовок HTTP Host: клиента разрешается в строку localhost-acap — а поскольку устройство работает с настройкой Apache по умолчанию UseCanonicalName Off, это значение полностью контролируется атакующим. Любая учётная запись с любыми действительными, неанонимными учётными данными — включая роль viewer с наименьшими привилегиями — может стать полным администратором, добавив один HTTP-заголовок.

Содержимое этого репозитория

Прочитайте полный отчёт, чтобы узнать: хронологию раскрытия, затронутые диапазоны версий, архитектуру потока запросов фреймворка конфигурации устройств VAPIX, первопричину на уровне дизассемблирования с листингами кода до и после, живые стенограммы proof-of-concept, обсуждение того, почему это исследование поддерживает оценку CVSS PR:LOW от NVD вместо собственной оценки PR:NONE от вендора, рекомендации по обнаружению для защитников и полные шаги по устранению уязвимости.

Затронутые версии

Если вы администрируете устройства Axis, установите патчи до версий, указанных выше (или до следующей доступной сборки вашей модели после 2025-06-02), прежде чем делать что-либо ещё. Инструмент проверки в poc/ может подтвердить подверженность вашего устройства в режиме только для чтения, без деструктивных действий, менее чем за секунду.

Быстрый старт (безопасная проверка только для чтения)

cd poc
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

python3 verify_cve_2025_0324.py \
  --target <device-ip> \
  --username <any-valid-account> \
  --password '<password>'

Это выполняет проверку версии прошивки плюс поведенческий тест только для чтения и никогда не изменяет состояние устройства. См. poc/README.md для получения информации об опциональном, полностью убедительном режиме подтверждения (изменяющем состояние, с автоматической очисткой) и о том, какие именно HTTP-запросы отправляются.

Почему это публикуется сейчас

• Существование уязвимости, её серьёзность и идентификатор CVE являются публичными с 2025-06-02.
• Патч вендора был общедоступен в течение того же периода — уже более года на момент написания.
• Рекомендация вендора намеренно скрыла техническую первопричину, и до этого исследования не существовало ни публичного описания первопричины, ни эксплойта.
• Этот документ не добавляет новой уязвимости и не создаёт нового риска для незапатченных парков устройств сверх того, о чём уже сообщает исходная рекомендация; он существует, чтобы помочь защитникам обнаруживать эксплуатацию, помочь отстающим паркам устройств расставить приоритеты в установке патчей с полным пониманием реального риска, а также задокументировать поучительный, тонкий класс ошибок авторизации (доверие ap_get_server_name() — который отражает заголовок Host клиента при конфигурации Apache по умолчанию — для принятия решения о безопасности) для более широкого исследовательского сообщества.

Все тесты проводились исключительно на оборудовании, принадлежащем автору, в изолированной лабораторной сети, без участия производственных систем или устройств третьих сторон на любом этапе. См. §12 («Этика и раскрытие информации») полного отчёта и SECURITY.md для получения дополнительной информации.

Благодарности

• Уязвимость обнаружена и ответственно раскрыта Malacupa через программу AXIS OS Bug Bounty.
• Axis Communications AB — Security Advisory CVE-2025-0324, v1.0, 2025-06-02.
• Запись NVD для CVE-2025-0324.
• Этот независимый анализ первопричины: анонимный независимый исследователь в области безопасности.

Лицензия

• Код в poc/ лицензирован в соответствии с лицензией MIT.
• Письменный отчёт (report/report.html, report/report.pdf и этот README) лицензирован в соответствии с Creative Commons Attribution 4.0 International (CC BY 4.0). Вы можете свободно распространять и адаптировать его, в том числе в коммерческих целях, при условии указания соответствующего авторства.

Отказ от ответственности

Этот репозиторий предоставлен исключительно для защитных исследований в области безопасности и самопроверки владельцами активов. Автор не несёт ответственности за неправомерное использование. Не используйте никакие инструменты из этого репозитория против устройства, которым вы не владеете или на тестирование которого у вас нет явного разрешения.