CVE-2025-59103
KrytyczneStreszczenie
Access Manager 92xx w rewizji sprzętowej K7 działa na systemie Linux zamiast Windows CE. W tej wersji wykryto usługę SSH na porcie 22 z dwoma użytkownikami mającymi zakodowane na stałe i słabe hasła, które można łatwo odgadnąć. Hasła są losowane tylko wtedy, gdy data urządzenia jest ustawiona przed 2022 rokiem, więc w niektórych sytuacjach (np. brak ustawionego zegara) hasła pozostają niezmienione.
Ocena ryzyka
Nieautoryzowany dostęp do urządzenia przez SSH może pozwolić atakującemu na pełną kontrolę nad systemem kontroli dostępu, co zagraża bezpieczeństwu fizycznemu obiektu.
Rekomendacja
Zmień domyślne hasła na silne, unikalne wartości oraz upewnij się, że zegar urządzenia jest poprawnie ustawiony, aby wymusić randomizację haseł.
Inne podatności w Access Manager 92xx
Zobacz wszystkie- CVE-2025-59101Wysokie
Podatność w Access Managerze polega na tym, że uwierzytelnienie jest weryfikowane na podstawie adresu IP żądania, a nie sesji lub ciasteczek. Po udanym logowaniu z danego adresu IP, adres ten jest traktowany jako uwierzytelniony, bez przechowywania innych informacji sesyjnych. Atakujący może sfałszować adres IP zalogowanego użytkownika, aby uzyskać dostęp do interfejsu webowego.
- CVE-2025-59098Wysokie
Access Manager udostępnia funkcję śledzenia (trace) do debugowania błędów, zaimplementowaną jako prosty gniazdo TCP. Dane debugowania są stale transmitowane przez to gniazdo bez żadnego uwierzytelnienia ani szyfrowania. Poziom szczegółowości można ustawić przez endpoint HTTP(S) z hasłem interfejsu usługi lub przez interfejs SOAP z użyciem zgadywalnego identyfikatora urządzenia.
- CVE-2025-59108Krytyczne
Domyślnie hasło do interfejsu webowego Access Managera jest ustawione na 'admin'. W testowanej wersji zmiana hasła nie była wymuszana.
- CVE-2026-27768Średnie
Podatność SQL Injection w roli Access Manager. Atakujący może wstrzyknąć złośliwe zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
The Access Manager 92xx in hardware revision K7 is based on Linux instead of Windows CE embedded in older hardware revisions. In this new hardware revision it was noticed that an SSH service is exposed on port 22. By analyzing the firmware of the devices, it was noticed that there are two users with hardcoded and weak passwords that can be used to access the devices via SSH. The passwords can be also guessed very easily. The password of at least one user is set to a random value after the first deployment, with the restriction that the password is only randomized if the configured date is prior to 2022. Therefore, under certain circumstances, the passwords are not randomized. For example, if the clock is never set on the device, the battery of the clock module has been changed, the Access Manager has been factory reset and has not received a time yet.