CVE-2022-4980 in Crypto Application Server
Riassunto
di VulDB • 02/07/2026
General Bytes Crypto Application Server (CAS) a partire dalla versione 20201208 e precedente alla 20220531.38 (backport) e alla 20220725.22 (mainline) presenta un bypass dell'autenticazione nell'interfaccia web di amministrazione. Un attaccante non autenticato potrebbe invocare lo stesso URL utilizzato dalla pagina di creazione del primo amministratore durante l'installazione predefinita del prodotto e creare remotamente un nuovo account amministrativo. Ottenendo i privilegi di amministratore, l'attaccante può modificare la configurazione degli ATM, causando il reindirizzamento dei fondi. Gli avvisi pubblici dei vendor e numerose analisi indipendenti descrivono questa vulnerabilità come una chiamata alla pagina utilizzata per l'installazione iniziale/predefinita o per la creazione del primo utente di amministrazione; General Bytes non ha pubblicato pubblicamente il nome esatto dell'endpoint/parametro. Il problema è stato attivamente sfruttato in ambienti reali contro deployment cloud-hosted e standalone di CAS (scansione delle istanze CAS esposte sulle porte 7777/443) ed è stato riconosciuto pubblicamente da General Bytes nel settembre 2022.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.