CVE-2025-59090
KrytyczneStreszczenie
Na serwerze exos 9300 dostępne jest API SOAP na porcie 8002, które nie wymaga uwierzytelnienia. Dzięki temu osoba z dostępem do sieci może tworzyć dowolne zdarzenia dziennika dostępu oraz odpytywać kody PIN 2FA powiązane z kartami chipowymi.
Ocena ryzyka
Brak uwierzytelnienia pozwala atakującemu na manipulację logami i pozyskanie kodów PIN 2FA, co może prowadzić do nieautoryzowanego dostępu do obiektu.
Rekomendacja
Włącz uwierzytelnianie dla API SOAP na porcie 8002 oraz ogranicz dostęp sieciowy do tego portu.
Oryginalny opis (angielski, źródło NVD)
On the exos 9300 server, a SOAP API is reachable on port 8002. This API does not require any authentication prior to sending requests. Therefore, network access to the exos server allows e.g. the creation of arbitrary access log events as well as querying the 2FA PINs associated with the enrolled chip cards.