アクシスコミュニケーションズのAXIS OS等の複数製品における入力の構文的正当性の検証に関する脆弱性
| Title |
アクシスコミュニケーションズのAXIS OS等の複数製品における入力の構文的正当性の検証に関する脆弱性
|
| Summary |
AXIS OSバグバウンティプログラムのメンバーであるErik de Jongは、VAPIX APIのftptest.cgiにおいて十分な入力検証が行われておらず、コマンドインジェクションが可能であり、Axisデバイスからファイルの転送やデバイスへのファイル転送を行える可能性があることを発見しました。この脆弱性は、管理者権限を持つサービスアカウントで認証した後にのみ悪用できます。Axisは、この重大な脆弱性に対処するために修正済みのAXIS OSバージョンをリリースしています。詳細および対策については、Axisのセキュリティアドバイザリを参照してください。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
Nov. 26, 2024, midnight |
| Registration Date |
Jan. 27, 2026, 5:37 p.m. |
| Last Update |
Jan. 27, 2026, 5:37 p.m. |
|
CVSS3.0 : 低
|
| Score |
2.7
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
Affected System
| アクシスコミュニケーションズ |
|
AXIS OS 10.9.0 以上 12.1.21 未満
|
|
axis os 2022 10.12.257 未満
|
|
AXIS OS 2024 11.11.116 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年01月27日]
掲載 |
Jan. 27, 2026, 5:37 p.m. |
NVD Vulnerability Information
CVE-2024-8160
| Summary |
Erik de Jong, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API ftptest.cgi did not have a sufficient input validation allowing for a possible command injection leading to being able to transfer files from/to the Axis device. This flaw can only be exploited after authenticating with an administrator-privileged service account.
Axis has released patched AXIS OS versions for the highlighted flaw. Please refer to the Axis security advisory for more information and solution.
|
| Publication Date |
Nov. 26, 2024, 5:15 p.m. |
| Registration Date |
Nov. 27, 2024, 4 a.m. |
| Last Update |
Nov. 26, 2024, 5:15 p.m. |
Related information, measures and tools
Common Vulnerabilities List