CVE-2025-59097 in Access Manager 92xx-k5
الملخص
بحسب VulDB • 02/07/2026
يمكن استخدام تطبيق exos 9300 لتكوين مديري الوصول (مثل الطرازات 92xx، و9230، و9290). يتم إجراء التكوين من خلال واجهة مستخدم رسومية على خادم dormakaba exos. بمجرد النقر فوق زر الحفظ في exos 9300، تُرسل جميع إعدادات التكوين إلى مدير الوصول المحدد عبر بروتوكول SOAP. يُرسل طلب SOAP هذا دون أي مصادقة أو تفويض مسبق بشكل افتراضي. وعلى الرغم من إمكانية تكوين المصادقة والتفويض باستخدام IPsec للأجهزة من طراز 92xx-K5 وmTLS للأجهزة من طراز 92xx-K7، إلا أن هذه الإعدادات غير مفعّلة افتراضياً ويجب تفعيلها بخطوات إضافية.
يتيح هذا الإعداد الافتراضي غير الآمن لمهاجم لديه وصول على مستوى الشبكة التحكم الكامل في البيئة بأكملها. يمكن للمهاجم مثلاً بسهولة تنفيذ المهام التالية دون الحاجة إلى مصادقة مسبقة: - إعادة تكوين مديري الوصول (مثل إزالة متطلبات أنظمة الإنذار) - إعادة تكوين المدخلات والمخرجات بحرية تامة - فتح جميع الأبواب المتصلة بشكل دائم - فتح جميع الأبواب لفترة زمنية محددة مسبقاً - تغيير كلمة مرور المسؤول (admin password) - والعديد من الإجراءات الأخرى
يمكن اكتساب الوصول على مستوى الشبكة بسبب عدم كفاية تجزئة الشبكة، بالإضافة إلى غياب جدران الحماية المحلية للشبكة (LAN firewalls). وقد تم تحديد أن الأجهزة ذات التكوين غير الآمن مكشوفة مباشرة للإنترنت.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.