Podatności Axis ACAP

Plik konfiguracyjny ACAP ma niewłaściwe uprawnienia, co może pozwolić na command injection i potencjalną eskalację uprawnień. Podatność jest wykorzystywana tylko, gdy urządzenie Axis zezwala na instalację niepodpisanych aplikacji ACAP i gdy atakujący przekona ofiarę do instalacji złośliwej aplikacji.

Plik konfiguracyjny ACAP nie posiadał wystarczającej walidacji danych wejściowych, co może umożliwić atak typu path traversal prowadzący do potencjalnej eskalacji uprawnień. Podatność może zostać wykorzystana tylko wtedy, gdy urządzenie Axis jest skonfigurowane do instalacji niepodpisanych aplikacji ACAP, a atakujący przekona ofiarę do zainstalowania złośliwej aplikacji ACAP.

Złośliwa aplikacja ACAP może uzyskać dostęp do poświadczeń konta usługi na poziomie administratora używanych przez legalne aplikacje ACAP, co prowadzi do potencjalnej eskalacji uprawnień złośliwej aplikacji ACAP. Podatność może być wykorzystana tylko wtedy, gdy urządzenie Axis jest skonfigurowane do zezwalania na instalację niepodpisanych aplikacji ACAP i gdy atakujący przekona ofiarę do zainstalowania złośliwej aplikacji ACAP.