Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2024-6509

Описание уязвимости

Публикация: 10.09.2024·Обновлена: 28.03.2025, 10:27·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Marinus Pfund, member of the AXIS OS Bug Bounty Program, has found the VAPIX API alwaysmulti.cgi was vulnerable for file globbing which could lead to resource exhaustion of the Axis device. Axis has released patched AXIS OS versions for the highlighted flaw. Please refer to the Axis security advisory for more information and solution.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Axis Communications AB / AXIS OS 

{
  "status": "affected",
  "version": "6.50.0",
  "lessThan": "6.50.5.19",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "7.0.0",
  "lessThan": "8.40.59",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "9.0.0",
  "lessThan": "9.80.78",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "10.0.0",
  "lessThan": "10.12.249",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "11.0.0",
  "lessThan": "11.11.93",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.5
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнет
I · Целостностьнет
A · Доступностьвысокое

Классы CWE

CWE-155 · Неправильная нейтрализация Wildcards или соответствующих символовCWE-770 · Распределение ресурсов без ограничений или дросселирования

Источники и ссылки

Материал · www.axis.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:08:34.784314+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T23:38:48.471695+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T23:38:48.471695+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:08:34.784314+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T23:38:48.471695+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:08
  2. Данные обновлены03.11.2026, 00:08
  3. Данные обновлены02.11.2026, 00:07
  4. Данные обновлены31.10.2026, 11:54
  5. Данные обновлены30.10.2026, 13:35
  6. Данные обновлены29.10.2026, 10:43
  7. Опубликована29.10.2026, 02:38

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-1185
A configuration file on the local file system had improper input validation which could allow code e
Axis Communications AB / AXIS OS · axis / axis_os
Высокий8.8
0,23 %
12.05.2026
CVE-2026-0541
ACAP applications can gain elevated privileges due to improper input validation during the installat
Axis Communications AB / AXIS OS · axis / axis_os
Высокий7.3
0,1 %
12.05.2026
CVE-2026-0804
An ACAP configuration file lacked sufficient input validation, which could allow a path traversal at
Axis Communications AB / AXIS OS · axis / axis_os
Высокий7.3
0,13 %
12.05.2026
CVE-2026-0802
An ACAP configuration file lacked sufficient input validation, which could allow command injection a
Axis Communications AB / AXIS OS · axis / axis_os
Высокий7.3
0,4 %
12.05.2026
CVE-2026-6505
The ACAP framework contains a Time-of-Check to Time-of-Use (TOCTOU) race condition, which could pote
Axis Communications AB / AXIS OS
Средний5.1
0,09 %
11.08.2026