CVE-2025-5452
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Złośliwa aplikacja ACAP może uzyskać dostęp do poświadczeń konta usługi na poziomie administratora używanych przez legalne aplikacje ACAP, co prowadzi do potencjalnej eskalacji uprawnień złośliwej aplikacji ACAP. Podatność może być wykorzystana tylko wtedy, gdy urządzenie Axis jest skonfigurowane do zezwalania na instalację niepodpisanych aplikacji ACAP i gdy atakujący przekona ofiarę do zainstalowania złośliwej aplikacji ACAP.
Ocena ryzyka
Jeśli urządzenie Axis zezwala na niepodpisane aplikacje ACAP, atakujący może zainstalować złośliwą aplikację i uzyskać uprawnienia administratora, przejmując kontrolę nad urządzeniem. Może to prowadzić do dalszych ataków w sieci.
Rekomendacja
Wyłącz możliwość instalacji niepodpisanych aplikacji ACAP na urządzeniach Axis, chyba że jest to absolutnie konieczne. Regularnie przeglądaj zainstalowane aplikacje i weryfikuj ich pochodzenie.
Inne podatności w Axis ACAP
Zobacz wszystkie- CVE-2025-6779Średnie
Plik konfiguracyjny ACAP ma niewłaściwe uprawnienia, co może pozwolić na command injection i potencjalną eskalację uprawnień. Podatność jest wykorzystywana tylko, gdy urządzenie Axis zezwala na instalację niepodpisanych aplikacji ACAP i gdy atakujący przekona ofiarę do instalacji złośliwej aplikacji.
- CVE-2025-5454Średnie
Plik konfiguracyjny ACAP nie posiadał wystarczającej walidacji danych wejściowych, co może umożliwić atak typu path traversal prowadzący do potencjalnej eskalacji uprawnień. Podatność może zostać wykorzystana tylko wtedy, gdy urządzenie Axis jest skonfigurowane do instalacji niepodpisanych aplikacji ACAP, a atakujący przekona ofiarę do zainstalowania złośliwej aplikacji ACAP.
Oryginalny opis (angielski, źródło NVD)
A malicious ACAP application can gain access to admin-level service account credentials used by legitimate ACAP applications, leading to potential privilege escalation of the malicious ACAP application. This vulnerability can only be exploited if the Axis device is configured to allow the installation of unsigned ACAP applications, and if an attacker convinces the victim to install a malicious ACAP application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS