CVE-2025-59103
KrytyczneStreszczenie
Access Manager 92xx w rewizji sprzętowej K7 działa na systemie Linux zamiast Windows CE. W tej wersji wykryto usługę SSH na porcie 22 z dwoma użytkownikami mającymi zakodowane na stałe i słabe hasła, które można łatwo odgadnąć. Hasła są losowane tylko wtedy, gdy data urządzenia jest ustawiona przed 2022 rokiem, więc w niektórych sytuacjach (np. brak ustawionego zegara) hasła pozostają niezmienione.
Ocena ryzyka
Nieautoryzowany dostęp do urządzenia przez SSH może pozwolić atakującemu na pełną kontrolę nad systemem kontroli dostępu, co zagraża bezpieczeństwu fizycznemu obiektu.
Rekomendacja
Zmień domyślne hasła na silne, unikalne wartości oraz upewnij się, że zegar urządzenia jest poprawnie ustawiony, aby wymusić randomizację haseł.
Oryginalny opis (angielski, źródło NVD)
The Access Manager 92xx in hardware revision K7 is based on Linux instead of Windows CE embedded in older hardware revisions. In this new hardware revision it was noticed that an SSH service is exposed on port 22. By analyzing the firmware of the devices, it was noticed that there are two users with hardcoded and weak passwords that can be used to access the devices via SSH. The passwords can be also guessed very easily. The password of at least one user is set to a random value after the first deployment, with the restriction that the password is only randomized if the configured date is prior to 2022. Therefore, under certain circumstances, the passwords are not randomized. For example, if the clock is never set on the device, the battery of the clock module has been changed, the Access Manager has been factory reset and has not received a time yet.