🇰🇷 한글 설명
AXIS OS의 VAPIX API 내 param.cgi 구성 요소에서 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 공격자는 이를 악용하여 Axis 장치의 웹 인터페이스 접속을 차단하는 서비스 거부 공격을 수행할 수 있습니다. 해당 취약점은 param.cgi를 사용하는 API 엔드포인트에만 국한됩니다.
💡 쉬운 설명
장치가 명령을 처리하는 과정에서 발생하는 시간차 오류를 이용한 공격입니다. 공격자가 이 허점을 이용하면 관리자가 웹 화면을 통해 장치를 제어하지 못하도록 막을 수 있습니다.
🇺🇸 원문 (English)
Dzmitry Lukyanenka, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API param.cgi was vulnerable to a race condition attack allowing for an attacker to block access to the web interface of the Axis device. Other API endpoints or services not making use of param.cgi are not affected.
Axis has released patched AXIS OS versions for the highlighted flaw. Please refer to the Axis security advisory for more information and solution.
📍 영향받는 시스템
VAPIX API의 param.cgi를 사용하는 AXIS OS 기반 장치
⚔️ 공격 벡터
param.cgi 엔드포인트를 대상으로 한 레이스 컨디션 공격을 통한 서비스 거부(DoS)
🛡️ 대응 방법
Axis 보안 권고안을 참조하여 패치된 최신 AXIS OS 버전으로 업데이트
🔧 검증 코드
명령어 실행 시 특정 응답 패턴이나 비정상적인 동작이 발생하는지 확인하여 취약 여부를 점검합니다.
curl -s -X GET http://<TARGET_IP>/axis-cgi/param.cgi | grep -i 'error'