CVE-2025-6779
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
Plik konfiguracyjny ACAP ma niewłaściwe uprawnienia, co może pozwolić na command injection i potencjalną eskalację uprawnień. Podatność jest wykorzystywana tylko, gdy urządzenie Axis zezwala na instalację niepodpisanych aplikacji ACAP i gdy atakujący przekona ofiarę do instalacji złośliwej aplikacji.
Ocena ryzyka
W przypadku spełnienia warunków atakujący może wykonać dowolne polecenia i podnieść uprawnienia, co może prowadzić do pełnej kompromitacji urządzenia Axis.
Rekomendacja
Wyłącz możliwość instalacji niepodpisanych aplikacji ACAP na urządzeniach Axis. Zaktualizuj oprogramowanie urządzenia do najnowszej wersji.
Inne podatności w Axis ACAP
Zobacz wszystkie- CVE-2025-5454Średnie
Plik konfiguracyjny ACAP nie posiadał wystarczającej walidacji danych wejściowych, co może umożliwić atak typu path traversal prowadzący do potencjalnej eskalacji uprawnień. Podatność może zostać wykorzystana tylko wtedy, gdy urządzenie Axis jest skonfigurowane do instalacji niepodpisanych aplikacji ACAP, a atakujący przekona ofiarę do zainstalowania złośliwej aplikacji ACAP.
- CVE-2025-5452Średnie
Złośliwa aplikacja ACAP może uzyskać dostęp do poświadczeń konta usługi na poziomie administratora używanych przez legalne aplikacje ACAP, co prowadzi do potencjalnej eskalacji uprawnień złośliwej aplikacji ACAP. Podatność może być wykorzystana tylko wtedy, gdy urządzenie Axis jest skonfigurowane do zezwalania na instalację niepodpisanych aplikacji ACAP i gdy atakujący przekona ofiarę do zainstalowania złośliwej aplikacji ACAP.
Oryginalny opis (angielski, źródło NVD)
An ACAP configuration file has improper permissions, which could allow command injection and potentially lead to privilege escalation. This vulnerability can only be exploited if the Axis device is configured to allow the installation of unsigned ACAP applications, and if an attacker convinces the victim to install a malicious ACAP application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS