CVE-2025-59101
WysokieStreszczenie
Podatność w Access Managerze polega na tym, że uwierzytelnienie jest weryfikowane na podstawie adresu IP żądania, a nie sesji lub ciasteczek. Po udanym logowaniu z danego adresu IP, adres ten jest traktowany jako uwierzytelniony, bez przechowywania innych informacji sesyjnych. Atakujący może sfałszować adres IP zalogowanego użytkownika, aby uzyskać dostęp do interfejsu webowego.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do panelu administracyjnego Access Managera poprzez spoofing adresu IP. Może to prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszych ataków w sieci.
Rekomendacja
Zaleca się natychmiastowe wdrożenie mechanizmu uwierzytelniania opartego na sesjach lub tokenach, a nie na adresie IP. Należy również rozważyć wymuszenie uwierzytelniania wieloskładnikowego (MFA) oraz monitorowanie logów pod kątem nietypowych żądań z różnych adresów IP.
Inne podatności w Access Manager
Zobacz wszystkie- CVE-2025-59098Wysokie
Access Manager udostępnia funkcję śledzenia (trace) do debugowania błędów, zaimplementowaną jako prosty gniazdo TCP. Dane debugowania są stale transmitowane przez to gniazdo bez żadnego uwierzytelnienia ani szyfrowania. Poziom szczegółowości można ustawić przez endpoint HTTP(S) z hasłem interfejsu usługi lub przez interfejs SOAP z użyciem zgadywalnego identyfikatora urządzenia.
- CVE-2025-59108Krytyczne
Domyślnie hasło do interfejsu webowego Access Managera jest ustawione na 'admin'. W testowanej wersji zmiana hasła nie była wymuszana.
- CVE-2025-59103Krytyczne
Access Manager 92xx w rewizji sprzętowej K7 działa na systemie Linux zamiast Windows CE. W tej wersji wykryto usługę SSH na porcie 22 z dwoma użytkownikami mającymi zakodowane na stałe i słabe hasła, które można łatwo odgadnąć. Hasła są losowane tylko wtedy, gdy data urządzenia jest ustawiona przed 2022 rokiem, więc w niektórych sytuacjach (np. brak ustawionego zegara) hasła pozostają niezmienione.
- CVE-2026-27768Średnie
Podatność SQL Injection w roli Access Manager. Atakujący może wstrzyknąć złośliwe zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Instead of typical session tokens or cookies, it is verified on a per-request basis if the originating IP address has once successfully logged in. As soon as an authentication request from a certain source IP is successful, the IP address is handled as authenticated. No other session information is stored. Therefore, it is possible to spoof the IP address of a logged-in user to gain access to the Access Manager web interface.